公告详情-火山引擎

整体安全态势

6 月 AI 安全的主战场整体迁移到“智能体（AI Agent）安全”，各大安全会议密集召开，议程主要围绕智能体攻防开展， 火山引擎 Force 大会在北京顺利落幕，重磅发布“可信、可控、合规”的 AI Trust 智能体安全体系，以期解决企业 “想用 AI 但不敢上核心数据” 的行业痛点
6 月 AI 产品拦截 Web 攻击 8420 次，自研SkillScan发现恶意 Skill 1200+

Instagram 智能体客服缺陷导致大量账号被劫持，3 月 Instagram 上线 AI 智能客服机器人，AI 客服拥有直接修改账号绑定邮箱、下发密码重置链接的高权限接口，缺少对 Owner 的校验，无二次核验，攻击者伪装成目标账号常用登录地区、绕过基础地域风控，通过问答如“原邮箱已丢失，账号 @xxx 需要到新邮箱” ，AI 即向黑客邮箱发送校验码、直接执行换绑请求，4 月 17 日漏洞首次被攻击者利用、5 月底达到顶峰、6 月 1 日官方确认漏洞已修复，详情
ChatGPT 官方 Google Sheets 插件间接提示词注入，5 月 5 日，OpenAI 官方发布 ChatGPT for Google Sheets 正式版，5 月 8 日安全厂商 PromptArmor 向 OpenAI 提交间接提示词注入高危漏洞，受害者打开投毒表格、并在侧边栏调用 ChatGPT（汇总、翻译、公式生成、数据清洗任意指令即可触发，无需点击可疑链接、下载程序）即受影响。安全厂商 31 日公开漏洞和完整攻击链。6 月 1 日，OpenAI 紧急上线热修复，关闭脚本生成功能。多家海外企业用户批量撤销该插件 Google Drive 授权、禁止员工使用相关插件处理敏感业务数据，详情

SpringAI 向量存储模块查询注入漏洞（CVE-2026-47835），SpringAI 是 Spring 生态中的开源 AI 应用开发框架，用于在 Java 应用中集成大语言模型、Embedding 模型、向量数据库等AI能力。本次漏洞影响 SpringAI 的向量存储过滤表达式转换逻辑， emitLuceneString() 方法未对制表符、换行符、回⻋符和全⻆空格等特殊空白字符进行转义。攻击者借助这些未转义字符拼接 OR、AND 等查询操作实现恶意注入，需要升级 org.springframework.ai:spring-ai-elasticsearch-store 到1.0.9、1.1.8或以上版本
LiteLLM 认证绕过漏洞（CVE-2026-49468），LiteLLM 是开源的大模型API代理网关，LiteLLM 代理鉴权逻辑在判断请求路由时使用 request.url.path。Starlette 在构造 request.url 时会受到 Host 请求头影响，攻击者可通过构造恶意 Host 头，从而绕过认证访问受保护的管理接口，官方将路由判断依据从 request.url.path 改为直接读取 ASGIscope["path"]，需要升级 LiteLLM 到1.84.0及以上版本

火山引擎 SkillScan 智能体技能安全防护体系，智能体技能安全防护从1）全维度安全检测能力（文件合规、声明层安全、代码层安全、网络与资源使用安全、开源合规与供应链安全），2）全生命周期安全保障（开发、发布、上线），3）多层级纵深防御方案（静态扫描、动态分析、多引擎协同），4）持续化安全运营闭环（风险发现、风险定级、通知处置、复测验证）四个层级系统构建 SkillScan 安全防护体系，形成覆盖“事前预防、事中检测、事后响应”的闭环防护能力，确保智能体技能生态全程安全可控。

火山引擎智能体一体化安全解决方案，6 月 23 日，火山引擎举办 2026 Force 大会，在 AI Trust 安全论坛上，火山引擎云安全团队分享了智能体一体化安全解决方案。这个“一体化安全解决”设计为三层架构：
- 上层是接入与调度层——企业内的智能体五花八门，AI Coding 类、智能体平台类、AI助手类，接入方式各不相同，调度层对不同智能体做统一对接和接入管理，在智能体之间、安全能力之间做总控调度
- 中间层是安全能力综合层——安全攻防、行为权限、供应链和环境安全、行为护栏、审计溯源五大能力被重新组合，形成面向智能体场景的综合性防御体系
- 底层是安全模型能力层——用AI对抗AI，通用大模型和安全垂类小模型组合，为上层安全能力提供检测、处置、响应、分析的智能支撑