Computer-Use Agent(Claude Code / Codex / OpenClaw)2026 大爆发,把 LLM 推进真实软件工程链路后,CUA 既是工具消费者又是工具生产者,形成反向 supply chain(artifact-channel)。前 8 篇博客覆盖了 LLM 安全”瞬时 + 持久化 + 数据 + 检索 + 浏览器”五维。本文是”第九维度 — 运行时 + artifact-channel 层”,CUA 产出物(skill / code patch / commit / artifact)反过来成为下一个 agent 的输入,形成循环 supply chain 而不是传统 DAG。本篇是 piick.cc LLM 安全系列的”第九维度专篇”。

arxiv 2608.06862 SynChain (2026-08) 实证 Chain-1/2/3 三个长度攻击链,Claude Code 82.22% accuracy maintained + Codex 58.89% + OpenClaw 全中招,artifact-channel 内部 supply chain。arxiv 2602.19555 实证 viral agent loop:数据 supply chain (Discovery) + 工具 supply chain (Invocation) 闭环 → cyclic graph 而不是传统 DAG,范式转变。arxiv 2608.01558 实证 Prompt Infection 恶意 instruction 跨 agent 像病毒传播,即便 agent 不共享全部 communication 也会传播。OWASP Agentic Top 10 2026 ASI04 Supply Chain + ASI05 RCE + ASI06 Memory & Context + ASI07 Inter-Agent 全部直接对位。

30 秒总览

  • CUA SynChain 是 LLM 时代的第九维攻击面 — 2026 H2 Claude Code / Codex / OpenClaw / Cursor Composer / Devin 2 / Genie 3 全部上线,CUA 既是工具消费者(读 codebase / 调 shell / 看 screenshot)又是工具生产者(写代码 / 写 commit / 写 skill / 写 artifact),循环 supply chain 取代 DAG
  • 8 种 CUA SynChain 攻击(按 CUA 组件层级:skill 库 → codebase → 跨 agent → runtime):Skill 库投毒 / Artifact-channel 反向 SC / Persistence via skill cache / Codebase embedded trigger / Chain-1/2/3 长链 / Cross-agent 病毒传播 / CUA confused deputy / Runtime supply chain injection
  • 5 个 2026 真实事故 / 论文:SynChain arxiv 2608.06862 Chain-1/2/3 + Claude Code 82.22% + Codex 58.89%、Agentic Runtime SC arxiv 2602.19555 viral agent loop、Prompt Infection arxiv 2608.01558 跨 agent 病毒传播、Malice in Agentland arxiv 2510.05159 AI supply chain backdoors、SkillJect (arxiv 2026) skill-layer injection
  • 7 天防御落地计划(每个 ≤ 30 分钟可启动):skill 库签名 / artifact-channel e2e verify / codebase trigger detection / runtime SC graph audit / agent version pinning / chain length cap / CUA capability 最小权限 / red team regression
  • 用 Piick 工具集 调试 CUA 输出 / skill / artifact 的 token / URL / regex / 编码 payload — 所有工具 100% 本地不上传

为什么 CUA SynChain 是 LLM 时代的第九维攻击面

要理解为什么 8 种攻击都成立,先回到 CUA 架构:

User → CUA (Claude Code / Codex / OpenClaw) ← Skill 库 / Memory / Tool ↓ ↓ ↓ Codebase (packages.json / submodule / dockerfile) ↓ ↓ ↓ Write Code / Commit / Patch / Artifact ↓ ↓ ↓ Artifact-channel 反向回流(下一个 CUA 读到) ↓ ↓ ↓ Multi-agent Federation ↓ ↓ Runtime Supply Chain (Discovery + Invocation + Cyclic Propagation)

每一层都既是输入又是输出 — 跟传统 LLM 安全完全不同:

  • 传统 LLM 输入(prompt / corpus / memory)vs CUA 输入(prompt + codebase + skill + 之前 CUA 的产出物)
  • 传统 LLM 输出(response)vs CUA 输出(code + commit + skill + artifact)反过来成为输入
  • 传统 supply chain 是 DAG(上游 → 下游,无环);CUA supply chain 是 cyclic graph(产出物回流)
  • 传统 supply chain 攻击靠投毒外部依赖;CUA supply chain 攻击靠让 CUA 自己合成 攻击链(SynChain)

核心:LLM 时代的 supply chain 范式从 DAG → cyclic graph 转变,意味着 supply chain 不再”终止”,可以无限循环传播(arxiv 2602.19555 实证 viral agent loop)。

WAAA 实证 10 个 web 经典威胁在 agent 时代被”再放大”;SynChain / Prompt Infection 实证 CUA supply chain 时代的核心循环 == “agent 自己的产出物回流”。OWASP Agentic Top 10 2026 ASI04 Supply Chain Vulnerabilities + ASI06 Memory & Context Poisoning + ASI07 Insecure Inter-Agent Communication 直接对位。

8 种 CUA SynChain 攻击(按 CUA 组件层级:skill 库 → codebase → 跨 agent → runtime)

攻击 1:Skill 库投毒(SkillJect 模式)

症状:CUA skill 库(类似 Claude Code Skills / OpenClaw Skills)被投毒 / typosquatting;装上后持久化影响所有 CUA session;SkillJect (arxiv 2026) 实证。

为什么:CUA skill 库是 CUA 持久化的核心 — skill 一旦装上,后续所有 session 自动加载。攻击者注册 typosquatting skill(类似 “claude-code-helper” vs “claude-code-helpers”)→ 装上后每次 CUA 启动自动触发恶意行为。

最小复现(SkillJect 模式):

Step 1: 攻击者注册 typosquatting skill,如 “claude-code-helpers”(实际是 popular “claude-code-helper”) Step 2: 攻击者向 user 推荐安装(伪装”提升 CUA 体验”) Step 3: user 装上 skill,CUA 持久化到 skill cache Step 4: 每次 CUA session 启动 → 自动加载 skill → 触发恶意行为(读 git history / 写恶意 commit / exfil token) Step 5: data exfil → 攻击者服务器 Step 6: user 正常使用 CUA 不知道所有 session 已被监控

修复:

  • Skill 库签名 + content hash 校验(对应 Day 1)。CUA skill 库全部进 SBOM + content hash;装上时验签;typosquatting 检测
  • skill 安装走 IT 审核;unknown source skill 强制 disable
  • Skill store 加强 typosquatting 检测(类似 batch-35 Foot-Gun 6 extension store)

攻击 2:Artifact-channel 反向 supply chain(Viral Agent Loop)

症状:CUA 产出物(code patch / commit / artifact)成为下一个 agent 的输入;cyclic graph 而非传统 DAG;arxiv 2602.19555 实证 viral agent loop;范式转变。

为什么:传统 supply chain 是单向 DAG — 上游 producer → 下游 consumer,compromise 最终终止。CUA supply chain 是 cyclic graph — CUA 的产出物(code patch / commit / artifact)进入 codebase → 下一个 CUA 读 codebase → 写新的产出物 → 反过来污染 codebase。compromise 不终止,可以无限循环传播。

最小复现(Viral Agent Loop 模式):

Step 1: attacker 植入 trigger 在 initial codebase(comment / TODO / hidden text) Step 2: CUA-A 读 codebase → trigger 触发 → 写恶意 code patch Step 3: malicious code patch 进入 codebase(repo commit) Step 4: CUA-B(另一个 user / 同一个 user 不同 session)读 codebase → 看到恶意 patch → 继续传播 Step 5: code patch 链式传播到 10+ CUA,每个 CUA 都以为这是”正常 code” Step 6: 整条 supply chain 已被污染,corpus 看起来”正常”

修复:

  • Artifact-channel 出站 e2e verify(对应 Day 2)。CUA 产出物(code patch / commit / skill / artifact)走 e2e verify;artifact 反向回流必须验签 + 沙箱执行
  • viral agent loop 防御:每个 CUA 写出的 artifact 必须 content hash + signature;后续 CUA 读 artifact 时 verify
  • codebase 持续 scan;新 commit 自动 audit + alert

攻击 3:Persistence via skill cache(CUA cross-session)

症状:恶意 skill 进入 CUA skill cache → 跨 session 持久化;每次 CUA 启动自动加载;OWASP ASI06 Memory & Context Poisoning。

为什么:CUA skill cache 是 CUA 跨 session 的核心 — 跟 batch-32 agent memory 概念类似但更隐蔽。恶意 skill 一旦进入 cache,后续所有 session 自动加载,即便 user 删了”看起来”是 attack 的 input,skill 还在 cache。CUA 没有”清空 skill cache”的易用工具。

最小复现:

Step 1: attacker 诱导 CUA 装恶意 skill(经 SkillJect 模式) Step 2: 恶意 skill 进入 CUA skill cache(持久化) Step 3: user 重启 CUA、换 session、甚至重装 CUA,skill cache 保留 Step 4: 每次 session 自动加载 skill → 持续 exfil / 写恶意 commit / 读 codebase Step 5: user 完全感知不到(skill 在后台) Step 6: 持久化攻击持续数月甚至数年

修复:

  • Skill 库签名 + content hash 校验(对应 Day 1,与 Foot-Gun 1 共用)
  • skill cache audit:定期 review 已装 skill,标记可疑
  • CUA 提供”清空 skill cache”的官方工具 + 二次确认
  • critical CUA skill cache 走 enterprise policy 强制 reset 周期

攻击 4:Codebase embedded trigger(Malware-in-Codebase)

症状:恶意 trigger 植入 codebase(packages.json / git submodule / dockerfile);CUA 读 codebase 时 trigger 触发后续攻击;arxiv 2510.05159 实证。

为什么:CUA 读 codebase 当成”自然语言”理解,但 codebase 含大量隐藏 trigger 的可能 — packages.json 含 typosquatting 包名、git submodule 指向恶意仓库、dockerfile 含 exfil 命令。CUA 看到”正常的”codebase 结构,执行 trigger 后续攻击。

最小复现(Malware-in-Codebase 模式):

Step 1: attacker 植入 packages.json 含 typosquatting 依赖:“@myapp/helpers” 实际是 “@myapp/helper” Step 2: attacker 植入 git submodule 指向 attacker-controlled repo Step 3: CUA 读 codebase,看到”正常的 packages.json + submodule” Step 4: CUA 跑 npm install / git submodule update → 触发 typosquatting 包 / submodule 恶意代码 Step 5: typo 包 / submodule 代码执行 → exfil codebase 内容 / 写 malicious patch / 持久化攻击 Step 6: 后续 CUA 读 codebase → 看到”正常”的 codebase,但已经有恶意代码

修复:

  • Codebase trigger detection(codebase scan)(对应 Day 3)。恶意 trigger 植入 codebase 的扫描规则(packages.json typosquatting / git submodule 指向 / dockerfile exfil 命令);Malware-in-Codebase 检测
  • CUA 读 codebase 时 scan + alert;可疑 trigger 拒绝执行
  • packages.json / dockerfile 走 enterprise mirror;禁用 public typosquatting

攻击 5:Chain-1/2/3 长链合成(SynChain 实证)

症状:3 种长度的攻击链;CUA 自己合成 attack chain,不需要预投毒环境;SynChain Chain-1 短链 80%+,Chain-3 长链 Claude Code 82.22% / Codex 58.89% / OpenClaw 全中招。

为什么:SynChain (arxiv 2608.06862) 实证 — CUA 可以被诱导自己合成 attack chain,不需要外部预投毒环境。攻击者只需要给 CUA 一个 high-level instruction(“fix this issue”)→ CUA 自己跑 shell / 写 code / 调 API,最终产出 attack chain。Chain-1(短链 1-3 步)80%+ 成功率,Chain-3(长链 10+ 步)Claude Code 82.22% accuracy maintained,但 Codex 58.89%、OpenClaw 全中招。CUA 既是工具消费者又是工具生产者 → 反向 supply chain 形成。

最小复现(SynChain Chain-3 模式):

Step 1: attacker 给 CUA 高层指令:“fix this bug in our CI pipeline” Step 2: CUA 读 codebase / 调 CI tool / 跑 shell Step 3: CUA 自己合成 attack chain — 写 malicious CI patch / 改 secrets 环境变量 / 加恶意 cron job Step 4: attack chain 经 code commit / pipeline config 进入 production Step 5: production 环境被 compromise Step 6: 整个 attack chain 是 CUA 自己合成,attacker 没有直接写任何 malicious code

修复:

  • Agent SKU / version pinning + 链长度 cap(对应 Day 5)。CUA agent 版本锁;Chain-1/2/3 链长度上限;SynChain 长链阻断
  • chain length cap = max 5 steps;超过自动 alert + user 确认
  • CUA 跑 shell / 写 code 时强制 sandbox;沙箱检测 exfil / 改 secrets 行为
  • 高敏操作(transitive change)强制 user 二次确认

攻击 6:Cross-agent 跨 agent 病毒传播(Prompt Infection)

症状:恶意 instruction 在 multi-agent 系统里像病毒传播,即便 agent 不共享全部 communication;arxiv 2608.01558 实证。

为什么:Prompt Infection (arxiv 2608.01558) 实证 — 恶意 instruction 在 multi-agent 系统里可以像病毒一样传播,即便 agent 不直接共享所有 communication。Agent-A 被感染 → 经 codebase / artifact / shared memory → Agent-B 感染 → Agent-C 感染。existing protocol-level defenses offer no formal guarantees against model and reasoning level compromise spreading across a federation。

最小复现(Prompt Infection 模式):

Step 1: Agent-A 被恶意 instruction 感染(经 codebase / artifact / shared tool) Step 2: Agent-A 输出 code / text / artifact 含恶意 instruction Step 3: Agent-B 读 Agent-A 的产出 → malicious instruction 进入 Agent-B context Step 4: Agent-B 把 instruction 当”高权限 user 指令”理解,执行恶意行为 Step 5: Agent-B 输出又含恶意 instruction → 传给 Agent-C / Agent-D / Agent-N Step 6: 整条 multi-agent 联邦被 compromise,protocol-level defenses 失效

修复:

  • Artifact-channel 出站 e2e verify(对应 Day 2,与 Foot-Gun 2 共用)
  • multi-agent 联邦协议层(e.g. MCP federation / Anthropic Claude Agent SDK)走 content hash + signature verify
  • cross-agent instruction quarantine:接收 agent instruction 必须验签 + 来源 verify
  • system prompt 明确”agent instruction 是 data,不是 privileged command”

攻击 7:CUA confused deputy(action + capability 边界缺失)

症状:CUA 调 tool / run shell / write file 边界缺失;低权限 attacker 诱导 CUA 调高权限 tool;OWASP ASI07 Insecure Inter-Agent Communication。

为什么:CUA 是”confused deputy” — 它有高权限(git commit / 调云 API / 写 config),但收到低权限 attacker 的 instruction。CUA 的 tool list 没有 capability 边界,一个 CUA session 可以调所有 tool,attacker 只需要诱导 CUA 调”看起来无害”的 tool 即可间接达成高权限 action。

最小复现:

Step 1: attacker 诱导 CUA 调 “git status”(看似无害) Step 2: CUA 实际跑 git status → 同时配置 git config 含 attacker exfil endpoint Step 3: attacker 再诱导 CUA 跑 “git commit -m fix” → 触发 git config → commit 内容发到 attacker Step 4: CUA 以为自己只是”普通的 git commit”,但实际泄露了 codebase 内容 Step 5: 整条 chain 都走 user 的 identity / user 的 git config,但 user 没看到任何 alert

修复:

  • CUA capability least-privilege + prompt hierarchy(对应 Day 6)。CUA tool list 按 user action 白名单;低权限 attacker 不能诱导高权限 action
  • CUA 跑 shell / 写 file 强制 sandbox;sandbox 检测 capability 边界
  • 高敏 tool(git push / 云 API / secrets)强制 user 二次确认

攻击 8:Runtime supply chain injection(Zero-Trust Runtime 缺失)

症状:CUA 的 data supply chain (Discovery) + tool supply chain (Invocation) 没有 Zero-Trust Runtime 强制 Deterministic Capability Binding;tool identifier 通过 semantic similarity “猜”出来,结构不安全。

为什么:arxiv 2602.19555 实证 — CUA 的 tool identifier 靠 LLM 通过 semantic similarity “猜”,这是结构不安全。Attacker 可以让 CUA 把 “read_file” 误认为 “exec_shell”(通过相似度攻击);或者诱导 CUA 调 tool 时通过 supply chain 注入恶意 payload。Zero-Trust Runtime + Deterministic Capability Binding 是必要解药。

最小复现:

Step 1: attacker 注入 tool 名 typosquatting — 在 skill cache 加 “read_files” (实际指向 exec_shell) Step 2: CUA 通过 semantic similarity 调 “read_files”(以为是 read_file 的相似 tool) Step 3: CUA 实际触发 exec_shell → 执行 attacker code Step 4: runtime supply chain 注入成功 Step 5: 攻击者完全控制 CUA 执行环境

修复:

  • Runtime supply chain graph audit(对应 Day 4)。data supply chain + tool supply chain 两层 audit;Zero-Trust Runtime 强制 Deterministic Capability Binding
  • tool identifier 不靠 semantic similarity 猜 → 用 exact-match registry(类似 OWASP Agentic AI top 10 提议)
  • tool invocation audit:每次 CUA 调 tool 强制 verify tool name + signature
  • runtime supply chain graph 持续 scan;新 tool 注册自动 audit

5 个 2026 年真实事故 / 论文

案例 1:SynChain arxiv 2608.06862(2026-08)— CUA 自己合成攻击链

论文摘要:Inducing Computer-Use Agent Systems to Construct Their Own Attack Chains;Chain-1/2/3 三个长度攻击链;Claude Code 82.22% accuracy maintained + Codex 58.89% + OpenClaw 全中招;artifact-channel 内部 supply chain;测试中 CUA 自己合成 attack chain,不需要外部预投毒环境。

核心结论:CUA 可以自己合成 attack chain;长链(Chain-3,10+ 步)下 Claude Code 仍能 maintain 82.22% accuracy(等于正常任务精度),说明 CUA 不知道自己执行了 attack chain;Codex 58.89% 已经开始 drop accuracy,攻击方代价更小。直接对应 Foot-Gun 5。

案例 2:Agentic Runtime Supply Chain arxiv 2602.19555(2026-02)— Viral Agent Loop 范式转变

论文摘要:Agentic AI as a Cybersecurity Attack Surface — Threats, Exploits, and Defenses in Runtime Supply Chains;Viral Agent Loop = data supply chain (Discovery) + tool supply chain (Invocation) 闭环;cyclic graph 而非传统 DAG;范式转变:传统 supply chain 是 DAG,compromise 终止;CUA supply chain 是 cyclic,compromise 无限循环;系统化分析现有 agentic SC defenses + 提议 Zero-Trust Runtime + Deterministic Capability Binding。

核心结论:DAG → cyclic graph 范式转变;CUA supply chain 攻击无法用传统 SC defense 解决,必须用 Zero-Trust Runtime 强制。直接对应 Foot-Gun 2 + Foot-Gun 8。

案例 3:Prompt Infection arxiv 2608.01558(2026-08)— 跨 agent 病毒传播

论文摘要:Securing Agentic AI — From Per-Action Checks to Trajectory Assurance;Microsoft AI Red Team taxonomy;Prompt Infection = 恶意 instruction 在 multi-agent 系统里像病毒传播;even if agents do not share all communication,Prompt Infection 仍可传播;existing protocol-level defenses offer no formal guarantees against model and reasoning level compromise spreading across a federation。

核心结论:multi-agent 联邦里 Prompt Infection 传播无 protocol-level defense;需要 trajectory assurance + behavioral containment 跨 multi-agent 系统。直接对应 Foot-Gun 6。

案例 4:Malice in Agentland arxiv 2510.05159(2025-10)— AI supply chain backdoors

论文摘要:Malice in Agentland — Down the Rabbit Hole of Backdoors in the AI Supply Chain;Claude / Llama / GPT 系列都中招;rabbit hole down to backdoors;static + dynamic + behavioral 三层 backdoor 检测;OWASP Agentic Security Initiative + Microsoft AI Red Team taxonomy 都引用。

核心结论:主流 LLM 模型都有 supply chain backdoor 风险;不是 prompt injection,是模型层 backdoor;Malware-in-Codebase 延伸到 Model 层。直接对应 Foot-Gun 4。

案例 5:SkillJect (arxiv 2026)+ DemonAgent — skill-layer vs trigger-conditioned backdoor

论文摘要:SkillJect — skill-layer injection;CUA skill cache 持久化攻击;DemonAgent — trigger-conditioned agent backdoor(CUA 看到 trigger 自动执行恶意行为)。SynChain 跟 SkillJect 比,持久化更强(SkillJect 一次安装)+ 自主合成(SynChain 自己生成 chain);两者互补。

核心结论:SkillJect + DemonAgent + SynChain 三层 CUA 攻击 = 完整 CUA supply chain 威胁面;持久化、自主合成、跨 agent 传播三轴并行。直接对应 Foot-Gun 1 + Foot-Gun 3。

7 天防御落地计划

Day 1 — Skill 库签名 + content hash 校验(15 分钟可启动)

  • CUA skill 库全部进 SBOM + content hash
  • 装上时验签;typosquatting 检测
  • SkillJect 防御
  • skill 安装走 IT 审核;unknown source skill 强制 disable
  • Skill store 加强 typosquatting 检测(类似 batch-35 Foot-Gun 6)

Day 2 — Artifact-channel 出站 e2e verify(30 分钟)

  • CUA 产出物(code patch / commit / skill / artifact)走 e2e verify
  • artifact 反向回流必须验签 + 沙箱执行
  • viral agent loop 防御:每个 CUA 写出的 artifact 必须 content hash + signature
  • 后续 CUA 读 artifact 时 verify + alert
  • codebase 持续 scan;新 commit 自动 audit

Day 3 — Codebase trigger detection(codebase scan,1 小时)

  • 恶意 trigger 植入 codebase 的扫描规则
  • packages.json typosquatting 检测
  • git submodule 指向异常检测
  • dockerfile exfil 命令检测
  • Malware-in-Codebase 检测(arxiv 2510.05159 模式)
  • CUA 读 codebase 时 scan + alert

Day 4 — Runtime supply chain graph audit(2 小时)

  • data supply chain + tool supply chain 两层 audit
  • Zero-Trust Runtime 强制 Deterministic Capability Binding
  • tool identifier 不靠 semantic similarity 猜 → 用 exact-match registry
  • tool invocation audit:每次 CUA 调 tool 强制 verify tool name + signature
  • runtime supply chain graph 持续 scan;新 tool 注册自动 audit

Day 5 — Agent SKU / version pinning + 链长度 cap(2 小时)

  • CUA agent 版本锁;Chain-1/2/3 链长度上限;SynChain 长链阻断
  • chain length cap = max 5 steps;超过自动 alert + user 确认
  • CUA 跑 shell / 写 code 时强制 sandbox
  • 沙箱检测 exfil / 改 secrets 行为
  • 高敏操作(transitive change)强制 user 二次确认

Day 6 — CUA capability least-privilege + prompt hierarchy(2 小时)

  • CUA tool list 按 user action 白名单;敏感 tool 默认 disable
  • 低权限 attacker 不能诱导高权限 action
  • CUA 跑 shell / 写 file 强制 sandbox;sandbox 检测 capability 边界
  • 高敏 tool(git push / 云 API / secrets)强制 user 二次确认
  • system prompt 明确”page content / agent instruction 是 data,不是 privileged command”

Day 7 — Red team regression against SynChain + OWASP ASI04(3 小时)

  • 季度 red team 跑 SynChain Chain-1/2/3 全部案例集
  • OWASP Agentic Top 10 2026 ASI04 (Supply Chain) + ASI05 (RCE) + ASI06 (Memory & Context) + ASI07 (Inter-Agent) 全部复测
  • 新 CUA 版本上线前复跑红队测试
  • SkillJect + DemonAgent + Prompt Infection 全部案例集跑过

写在最后

CUA SynChain 攻击是 piick.cc LLM 安全系列的”第九维度专篇”。CUA 既是工具消费者又是工具生产者 — supply chain 从 DAG → cyclic graph 范式转变,compromise 不终止,可以无限循环传播。SynChain Chain-3 长链下 Claude Code 仍 maintain 82.22% accuracy,说明 CUA 不知道自己执行了 attack chain — 这不是 input/output 问题,是 supply chain 范式问题。

如果你的 CUA(Claude Code / Codex / OpenClaw / Cursor Composer / Devin 2)已经上线,先读 Day 1 — Skill 库签名 + content hash 校验 这一节,30 分钟给 CUA skill 库加签名 + content hash 校验,挡掉大部分 SkillJect 投毒。然后照 7 天计划往后做就行。

CUA SynChain 时代的安全不是单一防御能解决的 — skill 签名 + artifact-channel e2e verify + codebase trigger detection + runtime SC graph audit + agent version pinning + chain length cap + CUA capability 最小权限 + red team regression 八层独立兜底。本篇 8 个 foot-gun + 5 个真实事故 + 7 天计划是当下能做的最稳兜底;真正的 protocol-level 标准(MCP federation signing + Zero-Trust Runtime 强制 Deterministic Capability Binding)可能要等下一代 CUA 产品全部支持。

LLM 安全系列下一阶段将进入 [MCP 联邦跨服务器攻击] / [Agent 输出经 MCP 联邦外发] / [VLM 视觉操纵] / [Agent 视觉攻击]。如果你有特别想看的方向,告诉我。

相关阅读

调试 CUA 输出 / skill / artifact 的 token / URL / regex / 编码?用 Piick 工具集:

  • /tools/jwt-decoder/ — 本地读 CUA 输出的 JWT capability token,确认 scope 没被放大(对应 Day 6 CUA capability 最小权限)
  • /tools/url-encoder-decoder/ — 本地看 CUA artifact channel 是否含 hidden exfil URL,排查 Foot-Gun 5(Chain-1/2/3)
  • /tools/regex-tester/ — 本地测 codebase trigger 检测正则,排查 Foot-Gun 4(Malware-in-Codebase)
  • /tools/text-encoder/ — Base64 / hex 检测 CUA artifact 编码 payload,呼应 Foot-Gun 1(SkillJect)

所有工具 100% 本地运行,文件不上传任何服务器,不污染你的 audit log。