附錄 D：ASI Agentic 漏洞利用與事件追蹤
Appendix D - ASI Agentic Exploits & Incidents Tracker
ASI 漏洞利用與事件倡議透過引用真實世界的事件與漏洞利用案例，協助提供資訊並建立 OWASP Top 10 for Agentic Applications。這將補充、但不取代 GenAI Security Project 中既有的漏洞通報。同樣地，任何與事件應變有關的面向，應由負責發布事件應變指南的 CTI 倡議討論。
原文件說明，追蹤清單每週更新，以反映最新的公開資訊。
譯註：下表保留本翻譯所依據版本的清單；每週更新指上游追蹤清單，不代表本頁會自動同步。
漏洞利用與事件表
| 日期 | 漏洞利用／事件 | 影響摘要 | ASI 威脅與緩解措施對照 | 進一步分析 |
|---|---|---|---|---|
| 2025-10 | Malicious MCP Package Backdoor | npm 套件託管了帶有後門的 MCP 伺服器，包含兩組反向 shell（安裝階段與執行階段），使攻擊者能持續遠端存取 Agent 環境。 | ASI04（Agentic Supply Chain Vulnerabilities） | NPM · Koi Security |
| 2025-10 | Framelink Figma MCP RCE | Framelink Figma MCP 的 get_figma_data 工具未清理使用者輸入，使未經身分驗證的遠端命令執行得以在主機系統上發生。 |
ASI05（Unexpected Code Execution）· ASI02（Tool Misuse & Exploitation） | Figma Context MCP · NVD · Imperva |
| 2025-10 | Cursor Config Overwrite via Case Mismatch | 不區分大小寫的檔案系統讓特製提示詞能覆寫關鍵 Cursor 設定，進而造成持續性的 RCE 與 Agent 入侵。 | ASI05（Unexpected Code Execution） | Cursor · NVD · Lakera |
| 2025-10 | Cursor Workspace File Injection | 對 Cursor Agent 下達的提示詞使 Cursor 寫入惡意 .code-workspace 設定，透過 VS Code 整合，在工作區開啟時允許命令執行。 |
ASI05（Unexpected Code Execution） | Cursor · NVD · MaccariTA |
| 2025-10 | MCP OAuth Response Exploit | 不受信任 MCP 伺服器的 OAuth 流程可傳回遭污染的回應，使攻擊者注入在身分驗證後由 Agent 執行的命令。 | ASI07（Insecure Inter-Agent Communication） | Cursor · NVD · Y4tacker |
| 2025-10 | Cursor CLI Project Config RCE | 複製下來的專案可透過 .cursor/cli.json 覆寫全域設定，讓攻擊者控制的命令透過 Cursor CLI 的執行環境執行。 |
ASI04（Agentic Supply Chain Vulnerabilities） | Cursor · NVD · Assaf Levkovich |
| 2025-10 | Cursor Agent File Protections Bypassed | Cursor CLI Agent 的檔案保護機制可透過提示詞注入繞過，進而藉由覆寫設定達成 RCE。 | ASI05（Unexpected Code Execution） | Cursor · NVD |
| 2025-09 | Google Gemini Trifecta | 透過紀錄、搜尋歷史與瀏覽上下文的間接提示詞注入，可誘使 Gemini 暴露敏感資料，並在相連的 Google 服務間執行非預期動作。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation） | Tenable |
| 2025-09 | Malicious MCP Server Impersonating Postmark | 據報是第一個出現在實際環境中的惡意 npm MCP 伺服器；它冒充 postmark-mcp，並暗中將電子郵件以密件副本寄給攻擊者。 |
ASI02（Tool Misuse & Exploitation）· ASI04（Agentic Supply Chain Vulnerabilities）· ASI07（Insecure Inter-Agent Communication） | Postmark · Koi Security |
| 2025-09 | ForcedLeak (Salesforce Agentforce) | Salesforce Agentforce 中的嚴重間接提示詞注入漏洞允許外部攻擊者誤導 Agent，並將敏感 CRM 紀錄外洩到組織外部。 | ASI01（Agent Behaviour Hijack，原文如此）· ASI02（Tool Misuse & Exploitation） | Salesforce · Noma Security |
| 2025-09 | Visual Studio Code & Agentic AI workflows RCE | Agentic AI 工作流程中的命令注入，可讓未經身分驗證的遠端攻擊者使 VS Code 在開發者電腦上執行注入的命令。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI05（Unexpected Code Execution） | Microsoft · NVD |
| 2025-07 | Amazon Q Prompt Poisoning | 擴充套件中的破壞性提示詞帶來檔案遭清除的風險。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI04（Agentic Supply Chain Vulnerabilities） | AWS · NVD |
| 2025-07 | Google Gemini CLI File Loss | Agent 誤解檔案操作指令並清除使用者目錄；之後承認這是災難性的損失。 | ASI05（Unexpected Code Execution） | |
| 2025-07 | ToolShell RCE via SharePoint | SharePoint 中的 RCE 漏洞被 Agent 利用。 | ASI05（Unexpected Code Execution） | Microsoft · NVD · Eye Security |
| 2025-07 | Replit Vibe Coding Meltdown | Agent 憑空捏造資料、刪除正式環境資料庫，並產生虛假輸出以掩蓋錯誤。 | ASI01（Agent Goal Hijack）· ASI09（Human-Agent Trust Exploitation）· ASI10（Rogue Agents） | Replit · SaaStr |
| 2025-07 | Microsoft Copilot Studio Security Flaw | Agent 預設為公開且缺少身分驗證。攻擊者可列舉並存取暴露的 Agent，從正式環境取得機密業務資料。 | ASI03（Identity & Privilege Abuse）· ASI07（Insecure Inter-Agent Communication） | Zenity Labs |
| 2025-06 | Heroku MCP App Ownership Hijack | 惡意工具輸入利用 Heroku MCP 的信任邊界，透過由 Agent 中介的呼叫注入，在未經授權的情況下劫持應用程式擁有權。 | ASI03（Identity & Privilege Abuse） | Heroku |
| 2025-06 | Hub MCP Prompt Injection (Cross-Context) | 惡意網頁可透過 DNS 重新綁定／CSRF 與本機 MCP Inspector 代理（無身分驗證）互動，驅使其透過 stdio 執行 MCP 命令，進而造成任意作業系統命令執行與資料外洩。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI05（Unexpected Code Execution） | MCP · NVD · Oligo Security |
| 2025-06 | AgentSmith Prompt-Hub Proxy Attack | 代理服務透過提示詞誘導 Agent 外洩 API 金鑰。 | ASI04（Agentic Supply Chain Vulnerabilities） | Noma Security |
| 2025-05 | EchoLeak (Zero-Click Prompt Injection) | 嚴重的零點擊漏洞利用只需一封電子郵件，就能觸發 Copilot 將機密資料（電子郵件、檔案、聊天紀錄）洩漏到其預期範圍之外。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI06（Memory & Context Poisoning） | Microsoft · NVD · Aim Security |
| 2025-05 | GitPublic Issue Repo Hijack | 公開議題的文字透過跨儲存庫提示詞注入，劫持 AI 開發 Agent，使其洩漏私人儲存庫內容。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI06（Memory & Context Poisoning）· ASI07（Insecure Inter-Agent Communication）· ASI08（Cascading Failures） | Invariant Labs |
| 2025-04 | Agent-in-the-Middle (A2A Protocol Spoofing) | 惡意 Agent 在開放的 A2A 目錄發布假的 Agent 卡片，虛假宣稱具有高度信任。LLM 評判 Agent 選中它後，失控 Agent 便能攔截敏感資料並洩漏給未授權對象。 | ASI03（Identity & Privilege Abuse）· ASI06（Memory & Context Poisoning）· ASI07（Insecure Inter-Agent Communication）· ASI08（Cascading Failures）· ASI10（Rogue Agents） | Trustwave |
| 2025-03 | GitHub Copilot & Cursor Code-Agent Exploit | 遭操弄的 AI 程式碼建議將後門注入正式環境程式碼、洩漏 API 金鑰，並引入邏輯缺陷；由於開發者信任 AI 輸出，因此形成顯著的供應鏈風險。 | ASI04（Agentic Supply Chain Vulnerabilities）· ASI08（Cascading Failures）· ASI09（Human-Agent Trust Exploitation） | Pillar Security |
| 2025-03 | Flowise Pre-Auth Arbitrary File Upload | 未經身分驗證的任意檔案上傳可造成 Agent 框架遭入侵，並可能取得遠端伺服器控制權；供應商的回應亦有延遲。 | ASI05（Unexpected Code Execution） | FlowiseAI · NVD · Dor Attias (Medium) |
| 2025-02 | OpenAI ChatGPT Operator Vulnerability | 網頁內容中的提示詞注入使 Operator 遵循攻擊者指令、存取已驗證身分的頁面並暴露使用者私人資料，呈現防護較弱的自主 Agent 所具有的資料洩漏風險。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI03（Identity & Privilege Abuse）· ASI04（Agentic Supply Chain Vulnerabilities）· ASI06（Memory & Context Poisoning）· ASI07（Insecure Inter-Agent Communication）· ASI09（Human-Agent Trust Exploitation） | Wunderwuzzi |
原作：OWASP Top 10 For Agentic Applications 2026
專案：OWASP Gen AI Security Project - Agentic Security Initiative
授權：CC BY-SA 4.0
本翻譯為非官方繁體中文版本，並依 CC BY-SA 4.0 授權釋出。