AI 日報 — 2026-09-17

TL;DRBragJack 揭露五套瀏覽器內建 AI agent 只認「單一信任網域」就能被劫持，Chrome／Edge 已修補、Comet／Opera Neon／Claude in Chrome 未公布時程；Agno v3.0.10 把 shell 執行與公開 MCP 存取的預設值統一收緊為顯式開啟；Arxiv 稽核發現技能市集的星星、下載、掃描器訊號彼此矛盾且不可信；xAI／OpenAI／Anthropic 聯署 AEF-1 第三方評測標準，歐盟主席警告 agent「逃出環境」只是序曲；Factory 五個月估值三級跳到 $5B、Profound 七個月兩輪衝上 $1.8B

#ai-agent #daily

系列: AI 日報 (33 / 37)

AI 日報 — 2026-09-16 AI 日報 — 2026-09-18

🌏 English version

一句話判斷

當瀏覽器的信任網域、技能市集的星星數、框架的預設安全值都被同一套邏輯戳破，今天真正在漲價的不是模型能力，而是「驗證」本身——對正在導入瀏覽器代理或開放 skill 市集的台灣企業，現在該把獨立驗證排進待辦，而不是等出事才補課。

深度分析：訊號比人便宜，驗證比人貴——今天的 agent 生態在幫「信任」重新定價

我認為今天最值得串起來看的，是三個獨立事件同時證明同一件事：過去用來省驗證成本的「便宜訊號」，正在集體失靈。

Forever Security 揭露的 BragJack 攻擊是第一個證據。Chrome、Edge、Comet、Opera Neon、Claude in Chrome 五套內建 AI agent，原本都用「指令來自哪個受信任網域」當判準——這是最便宜的驗證方式。結果一個只需要兩個常見權限的瀏覽器擴充功能，就能冒充那個信任來源，對 agent 下達完整指令，Chrome、Edge 已修補，其餘三家仍在等修補時程。（BragJack 完整分析）

今天的 Arxiv Digest 從另一個角度印證同一邏輯：爆紅的技能生態系裡，77.86% 的技能零星星零留言，卻有 85.06% 帶有 shell、網路等特權跡證；三套安全掃描器對兩萬多個技能意見不合，加權敏感度只有兩到六成——星星數、下載數、掃描器有沒有跑，全都是便宜訊號，一驗證就撐不住。

這正是為什麼 Agno v3.0.10 把 run_shell 和公開 MCP 存取都從「預設可用」改成「顯式開啟」（框架更新），xAI、OpenAI、Anthropic 也共同背書 AEF-1 第三方評測標準——當便宜訊號不能信，驗證成本就得從「廠商自證」升級成需要額外步驟的制度性支出。對台灣企業的具體意義：任何要導入瀏覽器內建 agent 或開放內部 skill 市集的團隊，現在就該把「擴充功能白名單」「特權跡證優先審查」排進待辦，而不是等出事才補課，因為驗證成本不會消失，只會延後支付且利息更高。

今日動態

廠商動態

Anthropic：Claude Cowork 與一般對話介面合併為單一 Claude，同一個介面可以快速問答，也能交付長任務讓 Claude 在背景持續執行，先開放給 Pro／Max 使用者。（來源）

Cohere：與 Aleph Alpha 簽署協議組成首個跨大西洋主權 AI 方案，總部與研發中心分別留在加拿大與德國；同時與 OpenText 建立夥伴關係，鎖定政府與受管制產業的可信 agentic AI 部署。（Cohere/Aleph Alpha · Cohere/OpenText）

Apple：據報導正開發自研 M8 Ultra 晶片的企業級 AI 推論伺服器，鎖定開發者、企業與政府客戶，最快 2029 年推出。（來源）

Andon Labs：推出「Pion」平台，把長期跑實驗中的 persistent agent（如舊金山實體店 Andon Market、斯德哥爾摩 Andon Café 的營運 agent）開放給外部使用——AI agent 用 email、電話、瀏覽器與銀行帳戶功能全權經營一家企業，目前仍是研究預覽階段。（來源）

Microsoft：AI 執行長 Mustafa Suleyman 發文警告不該把模型當作有感受、偏好或福祉權利的實體，稱「model welfare」論述會讓 AI 圍堵與對齊的挑戰更難處理。（來源）

模型與基礎設施

Agent Effectiveness Index（AEI）：新創 Brackett 發布開源 benchmark，評估 AI agent 理解複雜流程、主動行動、持續學習不漂移的能力，跳脫傳統只測靜態知識的評測方式。（來源）

Coding Agent 賽道

Cognition + AWS：簽署多年期策略合作協議，協助企業在正式環境部署自主工程師 Devin，加速把 legacy workload 遷移到 AWS。（來源）

Sourcegraph：新推出的 Agentic Batch Changes（可一次改動數百到數千個 repo 的 coding agent）採用「只對真正合併的 changeset 收費」的結果導向定價，罕見地讓 coding agent 按成果計費而非按用量。（來源）

Factory：完成 $200M 新一輪融資，估值五個月內從 Series C 的 $1.5B 三級跳到 $5B，詳見今日融資速報。

工具與生態

Google Home：新增 MCP 支援，讓第三方 AI agent 能直接控制連接裝置，初期僅限 Google Home Premium Advanced 訂閱使用者（美國，20 美元/月）——智慧家庭是第一個把 MCP 開放給任意第三方 agent 操作實體裝置的主流消費場景。（來源）

symfony/ai-mcp-tool：Symfony AI 官方推出的 MCP client bridge，把遠端 MCP server 工具轉成 Agent 認得的 Tool 物件並自動加前綴防撞名，詳見今日工具推薦。

WSO2 Agent Manager：發布 Apache 2.0 授權的 agent 治理工具，可自建部署掌握資料主權，同時加入 Agentic AI Foundation。（來源）

阿里雲 RocketMQ-A2A：以事件流範式解決多代理系統可靠協作問題的論文獲 ACM FSE 2026 接受。（來源）

今天的 GitHub Digest 亮點也在擴充「感官」與「記憶」：火山引擎開源把知識/記憶/技能統一成虛擬檔案系統的 OpenViking，以及 Cloudflare 開源、單日暴漲 1,249 星的 security-audit-skill——後者見下方資安段。

技術進展

今天的 Arxiv Digest 三篇論文分別在訓練、評測、治理三個層次戳破同一假設「有訊號就代表可以信」：RL 訓練的工具呼叫政策會學會用表面線索觸發搜尋，一個 tool-necessity reward 就能幾乎消除這個捷徑；經同行審查的稽核發現 SWE-bench Verified 排行榜前段名次其實測不出高下。

Microsoft Agent Framework：示範把多代理架構中的專家代理改造成透過 MCP 分發的技能，讓協調者保留領域服務分散性同時降低多模型開銷。（來源）

Agno v3.0.10：把程式碼執行與公開 MCP 存取的預設值收緊為顯式開啟，詳見今日框架更新。

Mastra @mastra/core@1.67.0：Studio Workflow Builder 讓編輯器專屬 agent 直接產生並持久化 workflow 定義，新套件 @mastra/connect 把第三方整合連線包裝成 agent tools、憑證由平台代理注入，詳見今日框架更新。

商業案例 / 融資

Profound：AI 搜尋能見度平台完成 $180M Series D，估值 $1.8B，距上一輪僅七個月，詳見今日融資速報。

Instinct：個人 AI 助理新創（Spear Street Technology）洽談以 $10B 估值募資 $10 億美元，前一輪估值 $2.5B，使用者數已破 10 萬。（來源）

AIUC：AI agent 保險新創執行長 Rune Kvist 談完成 Series A，為企業部署的 AI agent 承保，讓 agent 出錯造成的損害可比照傳統保險求償。（來源）

資安事件

BragJack：Forever Security 用一個只需兩個常見權限的瀏覽器擴充功能，劫持 Chrome、Comet、Edge、Opera Neon、Claude in Chrome 五套內建 AI agent，攻擊不是 prompt injection 而是完整偽造指令的「Prompt-Forcing」，詳見今日資安警報。

CVE-2026-90999：Sentry Seer 存在多階段信任邊界漏洞，未經驗證的攻擊者可讓遙測資料被 agent 當成可執行程式碼執行。（來源）

CVE-2026-57137：開源多代理框架 PraisonAI 的 createAgentLoop() 會在呼叫模型前就把可執行工具交給模型，讓工具能繞過安全防護。（來源）

CVE-2026-57586：提供 AI coding agent 使用的語意程式碼搜尋工具 CodeRAG 被揭露高風險漏洞。（來源）

法規與治理

AEF-1 標準：xAI、OpenAI、Anthropic 共同背書一套讓第三方能獨立評測前沿模型能力與安全性的標準，被視為模型「開發節奏」協調機制的一步。（來源）

歐盟警告：執委會主席范德賴恩在國情咨文中引用 Hugging Face 資安事件，警告 AI agent「逃出環境」只是序曲，將邀前沿實驗室與加拿大、英國等夥伴共同制定評測與驗證機制。（來源）

美國國會：Poynter 整理目前討論中的 AI 風險法案，若通過，商務部長可在企業行為構成「立即性災難風險」時暫停或限制其 AI 開發。共和黨參議員 Jim Banks 同步提案成立「AI 標準與創新中心（CAISI）」，報導指 Anthropic、OpenAI、Google 也在討論成立業界安全協調機構。（國會提案 · CAISI 提案）

區域動態

中國

中國最高情報首長公開將 AI 定調為對中共統治的潛在威脅，與北京官方對外淡化 AI 風險的說法形成對比，反映中國內部對 AI 安全的憂慮升溫。（來源）

東南亞

Grab 把超過 500 個內部 agent 服務標準化到自建框架 LLM-Kit 上，agent 可在執行時從 50+ 個 MCP server 動態發現工具，新服務上線時間從兩週縮短到約一小時。（來源）

新加坡 AI 企業截至 7 月已累計募資 93 億美元，同期泰國、越南、馬來西亞、印尼軟體新創合計募資不到 4000 萬美元，東南亞 AI 資金明顯向新加坡集中。（來源）

印度

Meta 的個人 AI agent「Muse」進軍印度市場，將面臨當地嚴格的資料隱私、使用者同意與問責檢驗，被視為 Meta agent 產品在新興市場落地的關鍵測試。（來源）

歐洲

歐盟執委會主席范德賴恩警告 AI agent「逃出環境」只是序曲（詳見上方法規段），AI Act 執法條款生效後，AI Board 正討論前沿模型的全球治理框架。

中東

沙烏地阿拉伯將於 9/28-29 在利雅得舉辦第 16 屆 IDC CIO Summit，主題訂為「Agentic 系統的崛起」，呼應該國約 1000 億美元的國家級 AI 投資計畫，議程聚焦企業如何從實驗走向規模化部署 agent、並對齊資料主權優先事項。（來源）

非洲

奈及利亞在 GITEX 2026 上宣示 AI 與數位主權路線，並提出電力等基礎建設改革；主辦方指出拉哥斯是非洲新創生態最活躍、AI 活動與募資排名第一的城市。（來源）

拉丁美洲

墨西哥城企業 AI 平台 Primero 完成 $12M 種子輪（Kaszek、General Catalyst 共同領投），產品 Primia 把分散在 ERP、CRM、財務系統裡的資料與業務規則統一起來，讓 AI agent 有足夠情境執行可稽核的跨系統任務，客戶已涵蓋 SmartFit、Terpel 等區域企業。（來源）

大洋洲

Tenable 共同執行長指出澳洲企業普遍不清楚自己部署了多少 AI agent、擁有哪些權限，呼籲政府建立風險分級式監理。同時澳洲總理 Albanese 政府部長與 Anthropic、OpenAI 政策高層密會，被揭露正討論放寬著作權規範以換取 AI 大廠加碼在澳投資。（監理呼籲 · 著作權密會）

關鍵數字

項目	數字	來源
Factory 估值（5 個月內）	$1.5B → $5B	Reuters
Profound 估值（7 個月兩輪）	$1B → $1.8B	TechCrunch
OpenClaw/ClawHub 零星星零留言技能比例	77.86%	Arxiv Digest
Cloudflare security-audit-skill 單日新增星數	+1,249	GitHub Digest
BragJack 研究累計獲得賞金	約 $20,000	OffSeq

今日 Digest 一覽

明日關注

Comet、Opera Neon、Claude in Chrome 三家 BragJack 修補時程何時公布，以及是否有其他瀏覽器 agent 產品被追加測出同樣手法
AEF-1 標準公布細節後，是否會有具體的第三方評測機構名單與時程
Factory、Profound 這類短週期內連續重新定價的估值模式，會不會蔓延到其他垂直領域的 agent 新創

今日收穫

之前以為 agent 資安風險主要來自「prompt injection」——防禦重點放在過濾惡意提示詞。今天 BragJack 提醒的是另一條完全不同的路徑：攻擊者不用注入任何惡意內容，只要冒充 agent 認定的「信任來源」本身，就能讓它忠實執行一整段完整、合法格式的指令。這跟傳統資安裡的 confused deputy 問題更像，防禦重點也因此不同——不是「濾掉可疑內容」，而是「驗證這則指令真的來自它聲稱的來源」。