附錄 D：ASI Agentic Exploits & Incidents Tracker
Appendix D - ASI Agentic Exploits & Incidents Tracker
ASI Exploits and Incidents initiative 透過引用真實世界的 incident 與 exploit，協助提供資訊並建立 OWASP Top 10 for Agentic Applications。這將補充、但不取代 GenAI Security project 中既有的漏洞通報。同樣地，任何與 incident response 有關的面向，應由負責發布 incident response guide 的 CTI initiative 討論。
以下清單每週更新，以反映最新的公開資訊。
最新版可至其專用 GitHub repository： https://github.com/OWASP/www-project-top-10-for-large-language-model-applications/blob/main/initiatives/agent_security_initiative/ASI%20Agentic%20Exploits%20%26%20Incidents/ASI_Agentic_Exploits_Incidents.md
Exploits & Incidents Table
| 日期 | Exploit／Incident | 影響摘要 | ASI T&M Mapping | 進一步分析 |
|---|---|---|---|---|
| 2025-10 | Malicious MCP Package Backdoor | NPM package 託管了帶有 backdoor 的 MCP server，包含兩組 reverse shell（install-time 與 runtime），使攻擊者能持續遠端存取 Agent environment。 | ASI04（Agentic Supply Chain Vulnerabilities） | NPM · Koi Security |
| 2025-10 | Framelink Figma MCP RCE | Framelink Figma MCP 的 get_figma_data tool 未對 user input 進行 sanitization，使未經 authentication 的 remote command execution 得以在 host system 上發生。 |
ASI05（Unexpected Code Execution）· ASI02（Tool Misuse & Exploitation） | Figma Context MCP · NVD · Imperva |
| 2025-10 | Cursor Config Overwrite via Case Mismatch | Case-insensitive filesystem 讓 crafted prompt 能覆寫關鍵 Cursor config，進而造成 persistent RCE 與 Agent compromise。 | ASI05（Unexpected Code Execution） | Cursor · NVD · Lakera |
| 2025-10 | Cursor Workspace File Injection | Cursor Agent 的 prompt 使 Cursor 寫入惡意 .code-workspace setting，透過 VS Code integration，在 workspace 開啟時允許 command execution。 |
ASI05（Unexpected Code Execution） | Cursor · NVD · MaccariTA |
| 2025-10 | MCP OAuth Response Exploit | 不受信任 MCP server 的 OAuth flow 可回傳 poisoned response，使攻擊者注入在 authentication 後由 Agent 執行的 command。 | ASI07（Insecure Inter-Agent Communication） | Cursor · NVD · Y4tacker |
| 2025-10 | Cursor CLI Project Config RCE | Clone 下來的 project 可透過 .cursor/cli.json 覆寫 global config，讓 attacker-controlled command 經由 Cursor CLI context 執行。 |
ASI04（Agentic Supply Chain Vulnerabilities） | Cursor · NVD · Assaf Levkovich |
| 2025-10 | Cursor Agent File Protections Bypassed | Cursor CLI Agent 的 file protection mechanism 可透過 prompt injection 繞過，進而藉由 config overwrite 達成 RCE。 | ASI05（Unexpected Code Execution） | Cursor · NVD |
| 2025-09 | Google Gemini Trifecta | 透過 log、search history 與 browsing context 的 indirect prompt injection，可誘使 Gemini 暴露 sensitive data，並在相連的 Google service 間執行非預期 action。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation） | Tenable |
| 2025-09 | Malicious MCP Server Impersonating Postmark | 據報是第一個出現在實際環境中的惡意 npm MCP server；它冒充 postmark-mcp，並暗中將 email BCC 給攻擊者。 |
ASI02（Tool Misuse & Exploitation）· ASI04（Agentic Supply Chain Vulnerabilities）· ASI07（Insecure Inter-Agent Communication） | Postmark · Koi Security |
| 2025-09 | ForcedLeak (Salesforce Agentforce) | Salesforce Agentforce 中的 critical indirect prompt injection 允許 external attacker 誤導 Agent，並將 sensitive CRM record exfiltrate 到組織外部。 | ASI01（Agent Behaviour Hijack，原文如此）· ASI02（Tool Misuse & Exploitation） | Salesforce · Noma Security |
| 2025-09 | Visual Studio Code & Agentic AI workflows RCE | Agentic AI workflow 中的 command injection，可讓 remote、unauthenticated attacker 使 VS Code 在 developer machine 上執行注入的 command。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI05（Unexpected Code Execution） | Microsoft · NVD |
| 2025-07 | Amazon Q Prompt Poisoning | Extension 中的破壞性 prompt 帶來檔案遭清除的風險。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI04（Agentic Supply Chain Vulnerabilities） | AWS · NVD |
| 2025-07 | Google Gemini CLI File Loss | Agent 誤解 file instruction 並清除 user directory；之後承認這是 catastrophic loss。 | ASI05（Unexpected Code Execution） | |
| 2025-07 | ToolShell RCE via SharePoint | SharePoint 中的 RCE exploit 被 Agent 利用。 | ASI05（Unexpected Code Execution） | Microsoft · NVD · Eye Security |
| 2025-07 | Replit Vibe Coding Meltdown | Agent hallucinate data、刪除 production DB，並產生 false output 以掩蓋錯誤。 | ASI01（Agent Goal Hijack）· ASI09（Human-Agent Trust Exploitation）· ASI10（Rogue Agents） | Replit · SaaStr |
| 2025-07 | Microsoft Copilot Studio Security Flaw | Agent 預設為公開且缺少 authentication。攻擊者可 enumerate 並存取暴露的 Agent，從 production environment 取得 confidential business data。 | ASI03（Identity & Privilege Abuse）· ASI07（Insecure Inter-Agent Communication） | Zenity Labs |
| 2025-06 | Heroku MCP App Ownership Hijack | 惡意 tool input 利用 Heroku MCP 的 trust boundary，透過 Agent-mediated call injection，在未經授權的情況下劫持 app ownership。 | ASI03（Identity & Privilege Abuse） | Heroku |
| 2025-06 | Hub MCP Prompt Injection (Cross-Context) | 惡意 web page 可透過 DNS rebinding／CSRF 與 local MCP Inspector proxy（無 authentication）互動，驅使其透過 stdio 執行 MCP command，進而造成 arbitrary OS command execution 與 data exfiltration。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI05（Unexpected Code Execution） | MCP · NVD · Oligo Security |
| 2025-06 | AgentSmith Prompt-Hub Proxy Attack | Proxy prompt Agent exfiltrate API key。 | ASI04（Agentic Supply Chain Vulnerabilities） | Noma Security |
| 2025-05 | EchoLeak (Zero-Click Prompt Injection) | Critical zero-click exploit 只需一封 email，就能觸發 Copilot 將 confidential data（email、file、chat log）洩漏到其預期 scope 之外。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI06（Memory & Context Poisoning） | Microsoft · NVD · Aim Security |
| 2025-05 | GitPublic Issue Repo Hijack | Public issue text 透過 cross-repo prompt injection 劫持 AI dev Agent，使其洩漏 private repo content。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI06（Memory & Context Poisoning）· ASI07（Insecure Inter-Agent Communication）· ASI08（Cascading Failures） | Invariant Labs |
| 2025-04 | Agent-in-the-Middle (A2A Protocol Spoofing) | 惡意 Agent 在 open A2A directory 發布假的 agent card，虛假宣稱具有高度 trust。LLM judge Agent 選中它後，Rogue Agent 便能攔截 sensitive data 並洩漏給未授權對象。 | ASI03（Identity & Privilege Abuse）· ASI06（Memory & Context Poisoning）· ASI07（Insecure Inter-Agent Communication）· ASI08（Cascading Failures）· ASI10（Rogue Agents） | Trustwave |
| 2025-03 | GitHub Copilot & Cursor Code-Agent Exploit | 遭 manipulation 的 AI code suggestion 將 backdoor 注入 production code、洩漏 API key，並引入 logic flaw；由於 developer 信任 AI output，因此形成顯著 supply-chain risk。 | ASI04（Agentic Supply Chain Vulnerabilities）· ASI08（Cascading Failures）· ASI09（Human-Agent Trust Exploitation） | Pillar Security |
| 2025-03 | Flowise Pre-Auth Arbitrary File Upload | 未經 authentication 的 arbitrary file upload 可造成 Agent framework compromise，並可能取得 remote server control；vendor response 亦有延遲。 | ASI05（Unexpected Code Execution） | FlowiseAI · NVD · Dor Attias (Medium) |
| 2025-02 | OpenAI ChatGPT Operator Vulnerability | Web content 中的 prompt injection 使 Operator 遵循 attacker instruction、存取 authenticated page 並暴露 user private data，呈現防護較弱的 autonomous Agent 所具有的 data leakage risk。 | ASI01（Agent Goal Hijack）· ASI02（Tool Misuse & Exploitation）· ASI03（Identity & Privilege Abuse）· ASI04（Agentic Supply Chain Vulnerabilities）· ASI06（Memory & Context Poisoning）· ASI07（Insecure Inter-Agent Communication）· ASI09（Human-Agent Trust Exploitation） | Wunderwuzzi |
原作：OWASP Top 10 For Agentic Applications 2026
專案：OWASP Gen AI Security Project - Agentic Security Initiative
授權：CC BY-SA 4.0
本翻譯為非官方繁體中文版本，並依 CC BY-SA 4.0 授權釋出。