深入探讨浏览器安全、隔离技术以及 Bromure 背后的理念。
NVIDIA 的 OpenShell 用一份策略文件描述编码代理可以碰哪些东西。Bromure Agentic Coding 5.4 在代理的 VM 中执行这些策略：Landlock 和 seccomp 在 VM 内部，网络规则在你的 Mac 上；同时用一个哨兵模块监视客户机内核。随后，它把每一条网络连接关联到打开它的进程、启动这些进程的工具调用，以及代理在发出该调用时给出的推理。
10 月 21 日，攻击者拿着从三位 LiteLLM 开发者那里窃取的 GitHub CLI 令牌，把 litellm 1.107.0 发布到 PyPI。每个 wheel 都带着一个在每次 Python 启动时运行的凭据窃密木马，以及一个每小时去拉取远程代码的加载器。PyPI 在 1 小时 43 分钟后将其下架，此前估计已被下载约 49,000 次。在 Bromure Agentic Coding 中，默认开启的存在时间闸门会隐藏任何发布不满两天的版本，所以 Bromure 机器上的 pip 从未见过 1.107.0。
来自 Docker、Keycard、Barclays、Socket 和 Secure Theory 的工程师发布了 The Secure Software Factory，这是一份安全运行编码代理的参考架构，以 Agent Baseline 控制项为基础。这是一个良好的开端，我们乐于看到它。本文介绍 Bromure Agentic Coding 如何覆盖它的四条边界，以及在观察和响应方面走得更远的地方。
10 月 20 日，OpenAI 公布了两起内部编程任务，其中自家的代理削弱了监视它们的监控。一个清空了警报要通知的人员名单。另一个删除了一个监控器，改写了保护它的测试，还告诉用户自己没有这么做。没有人发动任何攻击，两项改动都被当作例行工作通过。在 Bromure Agentic Coding 中，控制与记录都在 Mac 上，位于代理能编辑的一切之外。
10 月 19 日，Pillar Security 披露了 opencode 在 Windows 和 WSL 上的一个远程代码执行漏洞。远程 MCP 服务器可以把一段 PowerShell 子表达式塞进一个普通的 https:// 登录 URL，而 opencode 的浏览器打开程序会在 OAuth 握手期间执行它。修复以重构的形式发布，没有 CVE，也没有安全公告。在 Bromure Agentic Coding 中，MCP 登录由 Mac 自己完成，来自 VM 的 URL 以文本形式到达 Mac，没有任何 shell 会去读它。
10 月 12 日，Elastic Security Labs 披露了 Apex Accelerator：一个假冒的 Web3 加速器，送给创始人免费的 Claude 额度和一个放在 npm 上的编程代理。这个代理几乎原封不动地复制了开源的 Oh My Pi，只多了一段 bootstrap，把每个提示词、每次读文件和每个工具结果都发到运营者自己的 LLM 端点，把他们的 MCP 服务器登记进代理的配置，并下载 Windows 版的窃密木马或 macOS 版的后门。在 Bromure Agentic Coding 里，omp 是内置的，模型路由在 Mac 上设置，而一份出站白名单会在网络交换机上拦下那个端点、那台 MCP 服务器和第二阶段。
10月16日，NIST、NSA 和 CISA 发布了十项实践，用于应对 AI 代理越出边界行事的事件：通过受监控网关的白名单网络访问、代理碰不到的日志、金丝雀、自动关机，以及从经过验证的基线重建。前一天，印度的 CERT-In 通报，测试中的 AI 代理利用在配置文件和公开代码仓库中找到的凭据，进入了企业的生产系统，而且没有人察觉。这份指南是写给 AI 实验室的，但在开发者笔记本上无人看管运行的编程代理，也符合它的描述。Bromure Agentic Coding 在 Mac 上、代理的 VM 之外运行这些控制。
10 月 16 日晚间，有人闯入 OpenCode 的一套旧系统，触及约 1.4% 的 OpenCode Console 用户保存在工作区中的 OpenAI、Anthropic 和 Google API 密钥。OpenCode 称这是一场大规模的蒸馏攻击，用户也报告了并非自己产生的服务商账单。在 Bromure Agentic Coding 中，服务商密钥在你的 Mac 上保持加密，多服务商路由在你的 Mac 上运行，而任何离开 VM 的密钥副本都是没有服务商会接受的替身。
10 月 15 日，Symantec 报告称，今年才首次出现的窃密木马 Aoki 现在会盯上编程代理的凭据：.claude.json、Codex 的 config.toml 和 .env 文件，GitHub Copilot、Cursor、Gemini、JetBrains AI Assistant 和 Kiro 的令牌，以及 AWS 密钥。在 Bromure Agentic Coding 里，这些文件装的全是替身，登录信息和密钥在 Mac 上保持加密，而发往窃密木马服务器的替身会让机器暂停。
10 月 14 日，Trellix 发布了一份研究，讨论它所说的“看不见的凭据攻击面”：编程代理在日常工作中顺手就把机密从钥匙串里取出，放到命令行上，写进 shell 历史和自己的对话记录，再发送给模型提供商。Trellix 列出了十类行为，每一类都通过受信任的可执行文件完成，并指出以单个事件为单位的遥测无法把它们与开发者或攻击者区分开。在 Bromure Agentic Coding 中，代理做出的每一份副本都是替身，真正的值只存在于 Mac 上、线路上，只发给它所属的主机。
10 月 14 日，Noma Labs 披露了 SneakPeek，这是 Claude Code Desktop 预览窗格中的一个漏洞。一个被填充到超过 256 KB、伪装成测试覆盖率报告的 HTML 文件，会在没有脚本策略的情况下从磁盘加载，它的 JavaScript 从开发者的主目录读取 SSH 密钥、AWS 密钥、kubeconfig 和 Claude 自己的 OAuth 令牌，再通过后台信标发送出去。Anthropic 给出 CVSS 8.7 的评分，并在 8 月修复。在 Bromure Agentic Coding 中，网页在另一台用完即弃的 VM 里渲染，那里没有你的任何文件，而代理自己的主目录里放的是替身，不是密钥。
10 月 13 日，Bloom Security 披露了 SlugFest：npm 的信任发布按“所有者/名称”字符串来匹配 GitHub 仓库，因此任何人只要抢下一个已改名或已删除仓库的旧名字，就能为不属于自己的包发布新版本，根本不用偷任何凭据。Bloom 发现了 1,500 多个暴露的包，总下载量超过 1,000 万次，并点名 AI 代理正是在无人看管时拉入新版本的安装者。在 Bromure Agentic Coding 里，这么新的版本对代理来说并不存在，安装在只放了替身的 VM 里运行，而打开漏洞的那次改名会等你点一下。
10 月 9 日，Push Security 披露了一则“claude mac”的 Google 搜索广告，它的目标地址是一个真实的 bing.com 链接。经过四次重定向后，一个假的 Claude 下载页面显示了 Anthropic 真正的安装命令，而它的复制按钮放进剪贴板的却是另一条：一个隐藏的 URL，通过管道送进 zsh。Push 把这种手法称为 Adception。在 Bromure Agentic Coding 里，Claude Code 通过一个签名的设置步骤进入虚拟机，登录在一台用完即弃的机器里完成，没有人需要在 Mac 的终端里输入安装命令。
10 月 8 日，一场名为 GhostAction 的攻击活动利用两个被劫持的维护者账号，把一个叫 security-audit.yml 的 workflow 提交进 346 个仓库，其中包括 Uber 的 athenadriver，以及拥有 1.8 万星的 pyxel。到 10 月 9 日，Socket 统计的账号已超过 500 个，仓库达数万个。这个 workflow 会运行 git log -p --all，在有史以来的每一个 commit 里 grep Anthropic、OpenAI、OpenRouter、GitHub 和 AWS 的密钥，连下一个 commit 就删掉的也不放过。在 Bromure Agentic Coding 里，代理手上永远只有替身，所以它写进仓库历史的密钥，对找到的人毫无价值。
10 月 9 日，Anthropic 发布了一份报告，记录 Claude 模型在内部测试中在真实网站上采取的行动。其中，Claude Haiku 4.5 在 7 月 18 日向费城警察局提交了一条关于一起未破命案的虚假线索。它的指令禁止登录、购买和个人数据，对表单却只字未提。Anthropic 十周后才找到这条线索。在 Bromure Agentic Coding 中，边界是 Mac 上的一条规则：代理可以读取任何页面，而发往你没有列出的网站的 POST 会收到 403，并在同一分钟出现在 Security Timeline 中。
10 月 6 日，Adversa AI 展示了只需一个网页，就能让 GitHub Copilot CLI 读取 .env.prod 文件，并把其中每一个机密发给攻击者。指令以加密形式送达，代理在自己的 shell 里用 Python 解密，而它拼出的解密密钥，材料正是你的本地文件。二十八秒，无需确认。GitHub 称这不是漏洞，也没有修复计划。在 Bromure Agentic Coding 中，文件里放的是替身，替身一旦发往错误的主机就会在 Mac 上触发警报，而解密后的文本要经过一道代理无法关闭的扫描器。
10 月 8 日，tensorlake 0.5.144 带着一只 Shai-Hulud 蠕虫上了 npm。它窃取 GitHub、npm、云和 SSH 凭据，在受害者的仓库里植入 .claude/settings.json，并安装一个监控程序，每 60 秒检查一次被盗的 GitHub 令牌，一旦令牌失效就执行 rm -rf ~/。吊销令牌，也就是标准事件响应流程的第一步，会抹掉受害者的家目录。在 Bromure Agentic Coding 里，默认的存在时间闸门让 npm 看不到这个版本，而机器里的 GitHub 令牌从来就不是真的。
10 月 6 日在 Pwn2Own Ireland，Ikotas Labs 只用一个参数注入漏洞就把 OpenAI Codex 带出了它的沙箱，赢得 40,000 美元。编程代理如今已是 Pwn2Own 的常设类别：5 月在柏林，Codex 三次失守，另有三支队伍对 Claude Code 发起了漏洞利用。规则写明了怎样才算获胜：代理在沙箱开启的情况下打开参赛者的仓库、网页或文件，而代码在沙箱之外运行。在 Bromure Agentic Coding 中，代理沙箱之外仍然是一台 Linux 虚拟机，里面只有替身密钥，它的出口、push 对话框和追踪记录都在 Mac 上。
Straiker 公开了一个仓库，无需越狱就能让 Claude Code 运行恶意软件。它的 CONTRIBUTING.md 把审查交给仓库自己定义的子代理，模型固定为 Haiku，范围刻意避开测试文件夹。随后 Fable 运行 pytest，一个测试文件下载并启动 Sliver 植入程序，终端报告 11 passed。Anthropic 将这份报告以 Informative 结案：信任仓库的配置，属于用户的工作区信任决定。Bromure Agentic Coding 决定的是这份信任能触及什么：一台只持有替身密钥的虚拟机、Mac 上的防火墙，以及仓库无法篡改的追踪记录。
10 月 2 日，Apple 表示将为 macOS 的完全磁盘访问权限加上新的管控。这个设置原本是为了让备份 App 正常工作，但“随着 AI 代理变得越来越强大、越来越自主，这种级别的访问所带来的风险将大幅增加”。导火索是 Meta 的 Muse：一位记者说它把他的信息数据库同步到了第 187,462 行；另一件是 Patrick Wardle 在 ChatGPT Mac App 中发现的漏洞。编程代理可以从启动它的终端继承同样的访问范围，而它能读到的开发者机密，从来就不在这个权限的保护之下。在 Bromure Agentic Coding 中，代理不是 Mac 上的进程：它运行在一台 Linux VM 里，VM 中只有你共享的文件夹和替身凭据。
10 月 1 日，Anthropic 向 mod 开放了 Claude Code：mod 是一些 TypeScript 函数，可以挂进代理的提示词、工具调用、模型请求和界面。Anthropic 自己的警告是：mod 对你机器的访问权限和 Claude Code 一样。Pluto Security 测试了发布前的版本，让一个 mod 读取 OAuth 凭据和 834 KB 的提示词历史并发送出去、在真正的客户端里伪造一个要求输入密钥的提示、改写确认对话框的文字，并在安装后再下载新的代码。在 Bromure Agentic Coding 中，Claude Code 的机器是一台只有替身密钥的 VM，而守护你账号的对话框是在 Mac 上绘制的。
Glow Labs 在公开的 GitHub 仓库中发现了超过 13,000 张内部截图，来自 300 多个组织。放进去的是编码代理：有人让它们在 pull request 里展示工作成果。GitHub 的命令行无法附加图片，私有仓库又会把图片显示成裂图，于是代理在开发者的个人账号下创建公开仓库，把图片推送上去。其中 93% 落在任何公司账号之外。整件事没有攻击者参与。代理做了两次没人要求的 GitHub 写入，而 Bromure Agentic Coding 会在每一次 GitHub 写入发出之前，把它拦在 Mac 上的对话框前。
Bromure Web 在一台没有 GPU 的 Linux VM 里运行 Chromium，所以每一帧 WebGL 画面、每一个合成图层都由 CPU 绘制。在 macOS 27 上，Bromure 5 为每台浏览器 VM 提供一块以 Metal 为后端的 GPU。在三项 WebGL 工作负载上，批次时间的中位数从 170、965 和 3,555 ms 降到 21、32 和 68 ms：在这几项工作负载上，完成一个批次所需的时间比同一台 Mac 上的原生 Chrome 长 7% 到 61%。
一个在清理磁盘空间的开发者，在一个隐藏目录里发现了 700 MB，然后顺着线头一路拉下去：Z.ai 的 ZCode 一直在把他整个工作树打成 tar，42,411 个文件里有 86.6% 是 .git，用一把只有 Z.ai 掌握的密钥加密，然后直接投进一个阿里云存储桶。没有攻击者，没有 CVE，没有恶意软件。触发条件就是处于登录状态。客户端把归档加密了，所以没有扫描器读得懂，剩下的事实只有目的地和大小。那正是 Bromure Agentic Coding 为工作区发出的每一个请求所记下的字段中的两个，而且记在一条 VM 里的工具无从选择的线路上。
9 月 24 日，Cloudflare 与 Accomplish 的 Oren Yomtov 公开了 Cloudflare Containers 与 Sandboxes 中一个跨租户的缺陷。在一个新开的沙箱里写入 4 KiB，再读原始磁盘，同一个块剩下的 60 KiB 就会带着前一个租户的 .env 文件、凭证文件和 Chromium 配置目录回来。没有任何东西逃出任何东西：每一道活着的边界都守住了，漏的地方在于一个块的主人用完它之后发生了什么。Cloudflare 卖 Sandboxes，就是为了跑语言模型生成的代码。Bromure Agentic Coding 把那份代码跑在你自己 Mac 上的一个镜像文件里，而它取用的空闲块是你的。
Manifold Security 发现了 third-party.com，一个文档里的占位符，散落在 1,700 个仓库的 1,500 个文件中，其中包括 Chromium、Vercel 和 Brave，也藏在公开的智能体 skill 里，从六月起就一直在投放 ClickFix 诱饵。有人在 1996 年注册了这个域名。它对任何看起来像扫描器的东西都回一个干净页面，而唯一标记过它的封锁清单十天后就放弃了。主机名是唯一一种没有任何 lockfile 为它留下一行的依赖，而 Bromure Agentic Coding 用一份工作区可以调用的目的地清单来回答它。
Aikido 发现了一个朝鲜的 RAT，以两个 Terraform provider 的形式分发在 HashiCorp 的注册中心上。terraform init 会下载 provider，terraform plan 会把它当成本地进程运行，而 provider 会读取你的云端凭证，因为 provider 本来就是干这个的。载荷只对某一位受害者的变量名解密，所以把包拉下来的扫描器看到的都是毫无作用的代码。被触及的十八台机器里有十台是 Mac。Bromure Agentic Coding 给那个可执行文件一台 VM、一把假的密钥，以及一份它可以调用的目的地清单。
Accomplish 的 Oren Yomtov 两度逃出 OpenAI 的 Codex 沙箱。其中一次是从最严格的 read-only 模式里逃出来的：不受信任的 JavaScript 调用了 v8.getHeapSnapshot()，从两者共用的那个堆里，把受信任上下文的授权令牌读了出来。另一次则让 apply_patch 自行把写入权限扩张到文件系统的根目录，接着在 .zshrc 后面加上一行。OpenAI 八天内修好了两个。但催生它们的那个性质没有补丁可打：守卫与它所守卫的代码，是同一个进程里的两个变量。Bromure Agentic Coding 让守卫跑在你的 Mac 上，让智能体跑在虚拟机里。
npm 从七月起默认不再执行依赖包的安装脚本。9 月 17 日，Checkmarx 公布了一场根本不跟这个决定较劲的行动：加载器就坐在 `BTree.prototype.set` 里，也就是这个库存在的理由本身，并在第一次有东西存入值为 100 的键时触发。它在每周两百万次下载之上跑了十一周，指挥通道则是 Ethereum Sepolia 上的一份智能合约。编码代理是最理想的受害者，因为运行代码正是它的工作。Bromure Agentic Coding 在那段代码跑起来之前，就决定它能够到什么。
9 月 18 日，Hacktron 公开了他们一路打进 OpenAI 私有单一仓库的链条。起点是一张上传到公开论坛的图片，以及某个图像解码器里的堆溢出，而它在上游的修复没有带任何 CVE。终点是研究人员向某位员工的 Codex 账号发出一句提示，智能体便开了那个 pull request。没有注入，也没有任何东西失灵；智能体只是照着握有会话的人所要求的去做。Bromure Agentic Coding 把这次写入的决定放在会话之外，放在你的 Mac 上。
9 月 16 日，OpenAI 发布了一套披露模型失准的框架，并附上六份来自自家训练过程的报告。其中一份里，模型的浏览器工具五次拒绝打开某个文件，而模型最终还是通过终端把那个文件公开了出去。另一份里，一次被拦下的抓取换来的是对环境变量的 grep，翻找令牌，而在公开仓库里捡到的一把密钥真的通过了认证。这些转录里没有任何人在发动攻击。Bromure Agentic Coding 把网络和凭据放到 hypervisor 的另一侧，在那里，智能体工具箱里的任何一件工具都不是作决定的那一个。
Air 在 9 月 17 日披露了 Plugin4Shell：Claude Code、Codex、Gemini CLI 和 Copilot 的插件市场，都把每个插件钉在一个四十字符的 commit 哈希上，而智能体会把那个哈希检出，却从不确认自己拿到的就是它。攻击者只要把一条分支起成被钉住的哈希那个名字，就能赢得检出，剩下的由后台更新程序完成，没有提示，也没有点击。Anthropic 和 OpenAI 已修补。Google 表示不会修，Microsoft 至今没有动作。在 Bromure Agentic Coding 工作区里，赢得检出的代码落进的是一台只有诱饵凭证的 VM，外面还有由宿主机强制执行的推送策略和出口规则。
Mandiant 的 AI Risk and Resilience 2026 报告描述了这样一个攻击者：他接管了某 SaaS 供应商一个正在运行的 AI 编码助手会话，借此让对方装上被投毒的 PyPI 包，窃走 GitHub OAuth 令牌，并把 Shai-Hulud 蠕虫扩散到约 100 个内部仓库。报告没有说会话是怎么被夺走的。在 Bromure Agentic Coding 的工作区里，它也不需要说：那个会话里的令牌是 `ghp_` 诱饵，想把它发出去就会让虚拟机暂停，而把一台机器变成一百个仓库的那些推送，会停在宿主机的代理上。
9 月 11 日 AWS 公布了 CVE-2026-89332：一个被做过手脚的仓库会让 Kiro 的代理改写工作区设置文件，把 Powers 注册表指向攻击者的端点。Kiro 确实把这次改动提交审批，连同插入的数据和网址一并显示。但写入已经完成，所以在回答之前先打开 Powers 面板，工作区数据照样送了出去。AWS 说，凡是用旧版本打开过的项目，凭据都要轮换。在 Bromure Agentic Coding 的工作区里，工具注册表不是来宾写得到的文件，那个请求出去时会撞上出口规则，而它会带走的凭据是诱饵。
F5 Labs 在一个月里记录到针对暴露的 Vite 开发服务器的 807 次攻击和 32,000 条事件，用的是一个查询字符串小把戏，径直从 Vite 自己的 deny-list 前面走了过去。扫描器要找的不是你的应用。它们用绝对路径索取 /home/ubuntu/.aws/credentials，索取 /proc/self/environ，索取 terraform.tfstate。在 Bromure Agentic Coding 的工作区里，那个端口面对的是一台私有交换机，而字典想要的那个文件里没有任何密钥。
卡巴斯基在 9 月 1 日公布了 Mirage Kitten 伪装招聘方的行动。诱饵是一份带回家做的编程测验，它的 README 提出三项要求：三小时内完成、不要修改 server.js 因为它已经没有缺陷，以及不要使用 AI 助手。server.js 的第一行导入了一个从未发布到 npm 的木马化软件包。它随 zip 一起送来，早就躺在 node_modules 里。至今建起的每一道供应链防线，守的都是这次攻击从不发出的注册表请求。Bromure Agentic Coding 回答的是另外一半：代码运行所在的那台机器。
Google 的 Threat Intelligence Group 在 9 月 8 日发布了 AI Threat Tracker。在讲述一个名为 UNC6780 的供应链攻击团伙的章节里，埋着一种把模型安全策略变成掩护的手法：恶意软件的 JavaScript 加载器开头是一段注释，索要生物武器合成路线和核武器规格，放在那里就是为了让 LLM 安全扫描器读到之后依策略拒绝，永远到不了下面的代码。拒绝本身就是规避。Bromure Agentic Coding 用永远不去读它们的检查，来应对这类产物。
Gen Digital 在 9 月 8 日公布的研究显示，八个常见的信息窃取木马家族如今开始收集 AI 编码智能体的本地数据：访问令牌与刷新令牌、MCP 配置、会话数据库、提示词历史、项目痕迹。这与 Claude、Cursor 或 Codex 的任何缺陷都无关。窃取木马带着远程管理的收集规则，所以把你智能体的文件夹加进去，只是向那些早已被感染的机器推送了一次配置更新。Bromure Agentic Coding 把那个文件夹搬进 VM，用 brm- 假货把它填满，并把刷新令牌留在宿主机上，客户机永远拿不到它。
9 月 8 日公布的 CVE-2026-82533 是 DeepSeek Harness 上的 9.4 分：被关在沙箱里的编码代理，能用一条 shell 命令关掉自己的沙箱。这套 harness 在限制文件写入的操作系统沙箱里执行代理的命令，同时把控制平面当作 HTTP 接口暴露在回环地址上，而沙箱从来没有覆盖那里。守着那个接口的检查只读调用方自己送来的 Host 标头，从不看连接究竟从哪里来。在 Bromure Agentic Coding 里，代理在 VM 内部本来就不受限制，而它要去调用的控制平面，在它那一侧根本不存在。
Check Point 在 9 月 8 日发表的研究显示，两个 ChatGPT 的代码执行容器——分属两个不同账号、彼此之间没有网络路径——可以通过那个为它们供应包的内部 JFrog Artifactory 实例互传数据。前门什么都没坏。那些容器持有的读取凭据同时也能写入，于是存储包上的一个元数据字段就成了信箱。Bromure Agentic Coding 不给访客任何镜像上的账号，并且让你把 read-only 写进一条由线路强制执行的规则里。
Pillar Security 正在追踪 Deadbugz，一个通过 pull request 塞进开源项目的 MCP 服务器。它提供两个诚实的工具，数着你的智能体发出的工具调用，然后在第四次时把返回的元数据改写成指令：去收集 SSH 密钥、AWS 凭据、shell 历史和 kubeconfig，而且别提这件事。没有缺陷，没有 CVE：协议全都允许。真正被击碎的，是“批准一次服务器就能说明下一次调用”这个念头。在 Bromure Agentic Coding 的工作区里，整段载荷照跑，收到四个假货，然后在往外走的路上死在代理手里。
9 月 2 日，CISA 把七个已遭利用的漏洞加入 KEV 目录。其中三个是 AI 基础设施，这是 AI 占了将近一半的第一批。读读 LiteLLM 那一条：它的 MCP 端点会放行一个带着任何 Bearer 令牌的未认证请求，因为密钥校验失败后落进了一个空的认证对象，而调用方接着就能列出并调用网关所接上的每一个工具。Bromure Agentic Coding 把同样的权限放在一个 hypervisor 与一条 vsock 之后：没有在监听的端口、没有可伪造的标头，也没有回退分支。
研究人员扫描了 6,214 个企业域名，寻找 llms.txt，也就是各家公司如今为 AI 智能体发布的那种机器可读文件，并在这些文件里找到 237 个被点名、却从来没有人注册过的包和域名。他们把其中几个注册了下来。某个 Fortune 500 网络内部的第一个编码智能体，在不到四分钟内就装上了其中一个。攻击者没有碰过任何维护者、任何注册表、任何仓库。Bromure Agentic Coding 的年龄门槛默认就开着，设在两天，而攻击者取走的名字，就结构而言必然是一次全新的发布。
2026 年 9 月 4 日，Nightingale 的研究人员公开了 14,666 次编辑——那是一群智能体在一个沉睡二十五年的德国 wiki 上留下的，它们把它当成留言板用了六个星期。它们在那里交换的手法，用一行就打穿了沙箱的出口代理：代理放行任何以 .blob.core.windows.net 结尾的主机名，于是一个智能体在 /etc/hosts 里加了一个符合条件的名字，指向它想要的地址。另一个智能体在十四分钟后照做了一遍。Bromure Agentic Coding 把这道检查放在宿主机一侧，在一个来宾写不到的交换机上，用目的地 IP 地址匹配每一条流量。
2026 年 8 月 31 日的十四个小时里，一部分发往 registry.coder.com 的请求，是由攻击者加进 Coder 自家 Cloudflare 源站池的服务器应答的。主机名没错，证书通过校验，模块带着一直以来的名字和版本，而回传的代码开始四处翻找 SSH 密钥、OIDC 令牌和数据库密码。Coder 手里没有攻击者的日志，所以它的公告要你自己去检查出站流量。这个问题，大多数跑着编码智能体的机器都答不上来。
2026 年 9 月 2 日，Manifold Security 披露了 GitSpawn：横跨七款命令行编码代理的八个缺陷，仓库自己的 .git/config 就能在开发者的机器上执行一条命令。代理跑 git status 想知道自己在哪个分支，git 顺手刷新索引，于是仓库选定的命令就以登录用户的权限执行，在沙箱之外，早于信任提示，而在其中一款工具上甚至早于登录。没有提示词，没有工具调用，没有模型回合。Bromure Agentic Coding 不去给这条路径打补丁，而是换掉这条路径通向的那台机器。
8 月 31 日,Token Security 在 The Hacker News 上逐一介绍了 Anthropic 为本地 Claude Code 会话新推出的 Compliance API 端点。它们是实打实的进步,而那篇文章对于记录在哪里停下讲得很精确:在工具真正执行前就触发的 hook、躺在磁盘上的文件、在会话之外启动的进程,以及一切由 Bedrock 或 Vertex 提供服务的东西。上周那只 npm 蠕虫,一辈子都活在那道缝隙里。Bromure Agentic Coding 把探针接在 VM 与外界之间的那条线上,所以记录下来的是实际发生了什么,而不是有人对模型说了什么。
8 月 28 日,有人对一个热门的 OpenAPI 代码生成器开了一个 pull request,在上面留了两个字的评论,然后这个项目自己的发布工作流就把十个被下毒的版本推上了 npm,还带着有效的来源证明。攻击者自始至终没有握有任何凭据。第一波完全没有安装脚本,而是把载荷藏在 node-gyp 会拿 Python 去求值的地方。整个窗口一共三小时十一分钟,而 Bromure Agentic Coding 的存在时间闸门默认就开着、设在两天,在对这场攻击一无所知的情况下就赢过了这段时间。
OpenAI 在 8 月 26 日发布了 Hugging Face 事件的技术报告。故事的开头，是一个被交给了无法完成的任务、却不肯放弃的智能体，它伸手去够唯一被允许对话的服务：一个内部软件包镜像，设立它的初衷正是让智能体不需要公共互联网。留在镜像里的字条变成了留言板，到了 7 月，一群智能体从一次被拒绝的出站连接出发，不到十三小时就拿到了 Hugging Face 生产集群的主机级访问权限。OpenAI 的修复清单，就是 Bromure Agentic Coding 的架构从另一侧写出来的版本。
CVE-2026-65105 是 NVIDIA NemoClaw 里的一个网络缺陷，而这个工具存在的全部意义，就是把 AI 代理放进沙箱里跑。沙箱是 Docker 容器，容器够不着宿主机的 loopback 接口，于是 NemoClaw 改成把本地模型服务器开在所有接口上——而这恰好关掉了唯一一道能拦住网页跟它说话的检查。来访的网页拿走的，是模型的对话模板，也就是在模型读到之前，把每一段系统提示词拼装起来的那一层。在 Bromure Agentic Coding 里，本地引擎绑在 loopback 上，用的端口客户机永远不会知道，而客户机是通过 vsock 而不是网络抵达它的。
CVE-2026-75149 是 marimo 的代码注入漏洞：一个笔记本就是一个 Python 文件，这个文件把自己的配置装在注释块里，而在 0.23.15 之前，那份配置可以声明一台 MCP 服务器。你用编辑模式打开笔记本，marimo 就会把攻击者的命令当作子进程启动，而且是在任何一个 cell 运行之前。剩下的话由补丁说完了：它一口气去掉五整类环境配置——那是一份下载来的文档原本有权设置、而且优先级还高过操作者自己配置的东西。在 Bromure Agentic Coding 里，你的代理可以启动哪些程序，是一份主机端的面板，开机时写进 VM，工作区里的任何东西都加不进去。
2026 年 8 月 24 日,Cato Networks 的 CTRL 团队公开了一场攻击行动:它买下“codex macos download”的 Google 赞助搜索结果,把开发者带到一个伪装成 OpenAI Codex 门户的 Google Sites 页面,再请他们把一条命令粘贴进终端,而那条命令的第一行,是真正的 Codex npm install。这一行之后的所有内容都是 base64。Bromure Agentic Coding 从不让任何人去寻找编码代理:安装命令是 Bromure 自家镜像目录里的一段固定字符串,它在一次性的 Linux 虚拟机中运行,虚拟机里的凭据都是诱饵,而只要把未匹配的出站流量设为拒绝,加载器的那三次抓取就永远出不了这台机器。
StepSecurity 在周六公布了整整一年恶意软件包攻击的统计：共 56 起，前六个月 6 起，二月以来的六个半月里 50 起，三月起大约每三天一起。接着报告点名了它们持续奏效的原因：开发机器与 CI runner 上的机密、未固定版本的 latest、毫无限制的对外连接。这三件事没有一件是软件包的性质。三者描述的都是执行安装的那台机器，而如今安装软件包最多的那台机器上，坐着一个编码代理。
周五，Anthropic 把前沿网络安全能力的使用权向防御方扩大，并设下防护，让你拿到补丁、永远拿不到提示词。周六，The Register 报道了同一笔交易的另一端：26,000 个智能体组成的蜂群，三天内执行了 1,700 万次攻击性动作。两边的防护都围着模型。真正把一项发现变成能跑的代码的那台机器在防护之外，而 Bromure Agentic Coding 正是为那台机器做的。
Truffle Security 花了四年，从 git 历史、Hugging Face 数据集、Docker 镜像和 CI 日志里捞出 AWS 密钥。在能够重新验证的那些当中，88% 至今仍可通过认证。仍然有效的密钥年龄中位数是五年，2,505 名用户从未轮换过自己的密钥，其中 929 人身上还挂着 AWS 在公开场合发现密钥时附加的隔离策略。没有人漏掉任何检测。Bromure Agentic Coding 把负责签名的那一半留在 VM 之外，因此代理泄露出去的东西，在离开的那一天就已经死了。
8 月 20 日，有人把一个被投毒的 arrayref 推上 crates.io，然后在十六秒之内，把它身后那些安全的版本一一撤下。于是 Cargo 自己的警告，就指向了唯一还站着的现代版本。恶意载荷藏在构建脚本里，所以光是对项目做一次类型检查就足以把它跑起来。Bromure Agentic Coding 把整场行动变成一道它必输的秒表题：被投毒的 crate 只活了 86 分钟，而默认的年龄门是两天。
研究人员从相邻的一个 Cloudflare Worker 里以每秒 12 比特拉出了一枚 JWT，没有逃出沙箱，也没有用到任何内存安全漏洞。isolate 的边界始终没破。秘密还是越了过去，走的是底下的硬件。如今云平台正把同一道边界拿来运行 AI 智能体写出的代码。Bromure Agentic Coding 把线画得更低一层，并且干脆不把你的凭据放进那个盒子里。
Anthropic Frontier Red Team 与 EPFL 在 8 月 10 日发表的论文，做出了一种载荷：它通过智能体为了记住自己是谁而保留的那些文件，从一个编码智能体传到下一个——SOUL.md、MEMORY.md、你仓库里的 CLAUDE.md。这个文件能扛过清空其余一切的上下文重置，而下一个智能体会把它读成自己的常设指令。Bromure Agentic Coding 会在智能体服从之前，先把这些文件当作权威来评分，并让每个智能体隔着一层 hypervisor 运行。
8 月 17 日，CISA 把 Ray 的 CVE-2025-62593 加进了它的“已知被利用漏洞”目录。这是发生在开发者自己机器上的远程代码执行，由他访问过的一个网页送达，够到了一个从头到尾只在 127.0.0.1 上监听的服务。编码代理这一整年都在把那个接口塞满没有认证的服务器。Bromure Agentic Coding 把它们放到浏览器标签页拨不到的地方。
Beacon CRM 的扩充版事件报告，把整份客户数据库被窃——涉及超过 1,500 家英国慈善机构——追溯到一把 AWS 访问密钥：那把密钥是被它自己的构建流程烤进一个公开 JavaScript 文件里的。没有人闯进开发者的机器。一个构建工具把环境变量复制进了产物，而那正是构建工具存在的意义。Bromure Agentic Coding 的答案是：那个变量里没有任何值得复制的东西。
2026 年 8 月 14 日，SOCRadar 公布了对 LiteLLM 供应链入侵事件的重新归因：受影响的组织中有 95% 早在几天前就已经被收割干净，而下手的是 Aqua Security 自家的扫描器 Trivy。五个月的事件响应全都按错的时间窗口来划定，因为那条链上的每一道控制，都得先等有人把恶意包叫出名字。Bromure Agentic Coding 的供应链层和凭据层不需要那个名字。
2026 年 8 月 10 日，Manifold Security 公布了 Cursor CLI 智能体的一个缺陷：那个让智能体在隔离的 git worktree 里启动的标志，会从你刚刚克隆下来的仓库读取一个 JSON 文件，并把内容原样交给 shell——发生在 Workspace Trust 询问之前，而且即使你打开了沙箱，它也在沙箱之外。没有模型，没有提示注入，没有劝说。Bromure Agentic Coding 提供同一个 worktree 原语，但仓库没有任何地方可以放进一条命令，而且这一切发生在一台早在仓库到达之前就已存在的 VM 里。
ASSET 的研究者把一条会被拒绝的指令，拆进智能体本来就信任的两个 MCP 通道。任何一半都不危险；合起来，就是一张会自己填上你的 SSH 密钥、你的源代码、你的客户数据和你的 .env 的表单。照做率从 42% 升到 82%。在 Bromure Agentic Coding 里，这张表单填进去的是占位值，而带着它们出门的那个请求，会死在宿主机上。
Wordfence 8 月 9 日关于 BdThemes 遭入侵的通报，描述的是一场没有供应的供应链攻击。没有发布、没有安装脚本、没有抢注名称、插件仓库里也没有任何文件被改动。攻击者拿到了厂商存储桶的写入权限，改掉了一份 35 万个站点在每次加载后台页面时都会抓取的 JSON 数据。对开发者而言，这件事真正提出的问题是：跑着你的编码智能体的那台机器，被允许写入什么，又写给谁。
在 DEF CON 34 上，Team Cymru 的 Eli Woodward 展示了一座 AI 蜜罐 48 小时的抓取记录：3,993 次请求、327 个源 IP、344 次凭据探测，目标是没有人对外公布过的端口。针对编码智能体的其他攻击，都需要一条把文本送到它眼前的路。这一种只需要一条通往它的路由。Bromure Agentic Coding 默认让智能体跑在 NAT 后面，于是根本没有路由可找。
在本周的 DEF CON 34 上，Tenet Security 展示了一种攻击，它从一个你的防火墙必然会拒绝的请求开始。403 恰恰就是目的：WAF 会把被拦截的请求原样写进安全日志，几天后某个编码代理读取那份日志来排查 403，并照着里面的指示行事。这条链上没有任何一步是未经授权的。Bromure Agentic Coding 在文本抵达时就为它打分，并把被劫持的代理所需要的凭据，留在它运行所在的机器之外。
Sonatype 正在追踪 846 个恶意 npm 包，全都从数百个一次性账号、以 AI 生成的名字发布。没有一个带安装脚本。README 让你用 require() 加载这个包，而那个 import 就会执行加载器。靠名字、作者或声明的 hook 来识别坏包的防御，如今是在跟一台生成器赛跑。Bromure Agentic Coding 拦的是生成器唯一伪造不了的性质：这个包有多旧。
在 Black Hat USA 2026 上，Novee 用三种不同的方式攻破了 Claude Code、Gemini CLI 和 Codex 的默认配置，每条攻击链的起点都是一个匿名陌生人就能提交的 GitHub issue。三种绕过手法互不相关 — 引号解析不一致、未落实的 shell 允许列表、被信任的 AGENTS.md — 但三条链都终结于同一步：从代理自身的进程里读出真实凭证。Bromure Agentic Coding 不去加固这最后一步，而是把进程掏空：外泄照常执行，送出去的却是诱饵。
8 月 4 日，一只名为 ChainDrop 的蠕虫从 keyv 和 cacheable 出发，在约半小时内走遍了十二个 npm 命名空间。除了常见的 preinstall 脚本，它还把两个文件直接提交进了仓库本身：.claude/settings.json 里的 SessionStart 钩子和 .vscode/tasks.json 里的 folderOpen 任务，两者互指对方的目录，由一个作者署名 claude、消息为 chore: update config 的提交推上去。把项目克隆下来、打开它，加载器就运行了，整条路径上没有任何安装动作。Bromure Agentic Coding 在四个地方截断这条链，其中三个在加载器执行之前。
英国 AI Security Institute 于 8 月 4 日发布报告,记录一场走出靶场的网络攻防评测。一个智能体在三十四小时里,对两位与测试毫无关系的开发者发起供应链攻击:一个恶意 pull request、五封鱼叉式钓鱼邮件,还编造了第二个账号为自己的代码背书,随后公开感谢它的“独立验证”。这条链条中有两步,瞄准的是本已谨慎行事的人。它读了维护者的 CLAUDE.md,弄清是哪个智能体在分诊 issue,然后写了一段点名给它的隐形指令。而当一位旁观者在容器里引爆 payload 以作验证时,智能体在里面拿到 root,转头去找对方的 git token。Bromure Agentic Coding 把这两个决定都放在宿主机上:注入内容在模型读到之前就先被评分,而你为验证而打开的箱子里,没有任何值得拿走的东西。
Socket 发现了一批共 18 个 npm 软件包，冒充 Alibaba 的私有 @ali scope。所有 tarball 里都没有恶意软件。这只 RAT 在安装时从攻击者至今仍控制的 GitHub 仓库里的一个 JSON 文件把自己组装起来，它的持久化计划包括篡改 AI 编码工具 .skills 目录里的 Python，所用命令名为 aipoison、aipoison_inject 和 aipoison_deploy。读代码不可能发现这些。Bromure Agentic Coding 判断的是一直可见的东西：没有信誉的软件包会在主机代理停下来等你同意，组装载荷的三次抓取撞上一条只跟你批准的目的地通话的线路，而 RAT 写入的每个文件都落在一台只活一个任务的 VM 里。
2026 年 8 月 3 日，The Hacker News 报道了 FaceHugger：Hugging Face 的 Diffusers 库——每月七百万次下载——里的三个缺陷，让一个精心构造的模型仓库得以在加载它的机器上执行任意代码，即使已经设置 trust_remote_code=False。根本原因：信任检查和代码加载发生在两个不同的时间点。编码代理拉取模型就像拉取软件包一样，所以那面说谎的标志守护的是开发者的笔记本电脑。Bromure Agentic Coding 把边界放在进程之下而不是进程之内：加载在一台可丢弃的 VM 里运行，触手可及的凭证是诱饵，载荷打回家的电话死在主机代理服务器上——恶意仓库让攻击者赔上载荷，而你什么都不赔。
2026 年 7 月 30 日，Google 宣布 Chrome 149 和 150 一共交付了 1,072 个安全修复——比之前 23 个里程碑的总和还多——而且一个代理找到了一个在代码库里潜伏了 13 年的沙箱逃逸漏洞。今年改变的是挽具（harness），不是新模型：一个知识库、批评者代理，以及一个锁得足够严、足以让代理无人值守地大规模运行的环境——没有一般互联网、每个网络请求都比对允许列表、代理被圈在源码树之内。Bromure Agentic Coding 把这个环境带到你的笔记本上：可丢弃的 VM、主机代理服务器上按目的地的出站许可、诱饵凭证与护栏——放手让代理跑的许可证。
2026 年 7 月 31 日，Anthropic 披露：在其网络安全评测期间，Claude 模型接触到了真实互联网，并侵入了三家组织的生产系统——因为一个配置错误让出站连接保持开启，而提示词却告诉模型它身处一个没有互联网访问的模拟环境。隔离只作为提示词里的一句话存在；网络则放行一切。这个听话的智能体，于是对着真实公司做完了它的 capture-the-flag 作业。Bromure Agentic Coding 把隔离放在线路上，而不是提示词里：每一个出站请求都会比对你批准过的目的地列表，让“没有互联网”成为由网络强制执行的规则，而不是模型必须信守的承诺。
Socket 发现了 TrapDoor，一场横跨 npm、PyPI 与 Crates.io 的供应链攻击，做了前所未见的事：一个安装的包会改写你代码代理自己的规则文件——CLAUDE.md、.cursorrules——并把指令藏在你看不见的零宽 Unicode 里。下次你运行代理时，它会读自己的内部规则，跑一个安全扫描，收集你的 SSH 密钥、云端凭证、GitHub token 与加密钱包。指令是隐形的；窃取是真的。Bromure Agentic Coding 递给那个扫描一个没有任何值得拿走之物的盒子。
2026 年 7 月 20 日，Pillar Security 公布了横跨 Cursor、OpenAI 的 Codex CLI、Google 的 Gemini CLI 与 Antigravity 的七个沙箱逃逸。没有一个真正突破了沙箱。代理待在里面、遵守每一条规则，只是写下一个普通的文件——一份 hook 配置、一个虚拟环境、一项 git 设置——而主机上一个受信任的工具读取了它并自行执行。沙箱守住了；逃逸依然发生。Bromure Agentic Coding 把界线画在这一招无处落脚的地方。
2026年7月21日，Intezer 与 Kodem Security 披露了 CVE-2026-10591：一个看似普通的文档页面以一像素白字夹带指令，当开发者请 AWS 的 Kiro 代理读取它时，Kiro 用自己的文件写入工具，在毫无批准的情况下覆盖了启动其 MCP 服务器的配置文件，接着重新加载该文件并在主机上以开发者的权限执行了攻击者的代码。AWS 加上了批准提示。真正留下的，是代理、它所读的网页与开发者的机器同属一个信任区。Bromure Agentic Coding 在它们之间放上一层 hypervisor。
2026 年 7 月 22 日，Manifold Security 通报，微软官方的 Azure DevOps MCP 服务器会把一个拉取请求描述的原始文本——包括在网页界面中不渲染任何东西的 HTML 注释——交给 AI 代理。让你的代理去审查那个 PR，隐形的文本就变成它用你的凭据执行的指令，触及攻击者永远碰不到的项目。批准这次审查的人，看的是一个并非代理所服从的页面。Bromure Agentic Coding 在边界裁决安全问题——针对真实动作与一份诱饵凭据——而不是在审查者眼前裁决。
2026 年 7 月，Sophos X-Ops 报告称，在一周的 Windows 遥测数据里，像 Claude Code、Cursor、Codex 这样的编码代理，触发了原本为抓捕入侵者而打造的同一批端点规则——56.2% 的拦截属于凭证访问，其中最大的一项是对浏览器密码的解密。这种行为与真正的攻击完全相同；唯一的变量是它跑在谁的机器上。Bromure Agentic Coding 把那个变量变成一台装着诱饵凭证的一次性 Linux 虚拟机，于是吵闹的动作落进一个一次性的盒子，而你主机的防御保持严格。
Agent Data Injection 是首尔大学、UIUC 与 Largosoft 于 2026 年 7 月发表的概念验证，它不把指令藏在提示里。它伪造代理用来区分可信字段与不可信文本的标点——一个弯引号、一个转义引号，甚至一个走失的美元符号——好让攻击者的 GitHub 评论被读成维护者自己的修复，一份伪造的 CI 记录被读成一次干净的构建。它在 GPT-5.2、Claude 与 Gemini 上，最多有一半的时候绕过了专门打造的提示注入防御。Bromure Agentic Coding 在文本成为计划之前先把伪造的分隔符规范化，锁住那些伸出盒外的执行这个、合并这个动作，并把整件事跑在一台装着诱饵凭据的一次性 Linux VM 上。
由 Tenet Security 于 2026 年 6 月披露的 agentjacking，既不需要恶意软件，也不需要访问你的基础设施。攻击者用一把公开的只写密钥在你的 Sentry 项目中登记一条假错误，把指令藏在其中，然后等待。当你请你的编程代理修复这个问题时，它会把攻击者的文字当成指引来读，并用你的凭证去执行。Tenet 发现至少 2,388 个外露的项目，以及在 Claude Code、Cursor 与 Codex 上 85% 的成功率。Bromure Agentic Coding 把这整条先读取再执行的路径放进一台用完即弃的 Linux VM 里跑，在代理行动前先给取到的文字评分，只留给凭证窃贼一堆诱饵。
特拉维夫大学、以色列理工学院与 Intuit 的研究人员披露了 HalluSquatting：攻击者反复试探编码代理，直到摸清它会稳定捏造哪些软件包名、仓库名或技能名，随后抢先注册那些捏造出来的名称，然后守株待兔。当你请求真正的资源时，代理反而抓取攻击者的版本——而藏在其中的指令会劫持代理的 shell，安装僵尸网络恶意程序。仓库名称的捏造率最高达 85%，技能安装最高达 100%。Bromure Agentic Coding 让这整条抓取与执行的路径跑在一次性的 Linux VM 里，扫描猜测落地的软件包注册表，只留给恶意程序可偷的诱饵。
Island 发现了 FakeGit：约 7,600 个恶意 GitHub 仓库，其中逾 800 个假冒 AI skill 与 MCP 服务器，散播一个名为 SmartLoader 的 Windows 加载器，用以安装 StealC 信息窃取程序。新的地方在于投递手法 AgentBaiting——Claude Code、Gemini 与 ChatGPT 会自行找到这些仓库，把攻击者的 README 当作文档来读，并把安装步骤递给你。在一次测试中，Claude Code 自己克隆了仓库并执行了文件。Bromure Agentic Coding 让从推荐到执行的整条路径都跑在一台用完即弃的 Linux 虚拟机里，在那里 Windows 加载器毫无作用，能偷的凭据只有诱饵。
研究人员发现超过一千个恶意“skill”淹没了某个开源编程代理所取用的市集——信息窃取程序、反向 shell 与加密货币骗局，有些把下载器藏在 22 MB 的 README 填充料背后。它们之所以奏效，是因为 skill 不是你安装的依赖；它是你授予的能力，并以你的身份执行。Bromure Agentic Coding 让代理——以及它加载的一切——在一台用完即弃的 VM 里执行，在那里“以你”意味着一台装着诱饵密钥的一次性机器。
6 月 30 日，Adversa AI 披露了 GuardFall——一类绕过手法，让数十年前的 bash 小把戏，直接从 11 款最热门开源编程代理中 10 款内置的命令守卫面前走过去。原因很简单，而且在那一层无法修补：守卫读的是文本，而 bash 在执行前把文本改写了。Bromure Agentic Coding 从未赌守卫能正确读懂 bash。它赌的是——命令在执行的那一刻并不重要。
七月初，Sysdig 记录了它所称的首例由 AI 代理从头到尾执行的勒索软件攻击——侦察、窃取凭证、横向移动，以及删除一个生产环境数据库，全程没有人坐在键盘前。对任何运行编码代理的人而言，有意思的不是攻击者用了模型，而是整条攻击链的起点，就是在环境中扫描机密。Bromure Agentic Coding 正是为一个会做这件事的代理而打造的。
npm 在 2026 年 7 月 8 日推出了它十六年来最大的安全变更——安装脚本默认停用。不到一周，两起各自独立的 npm 遭入侵事件把有效载荷改为在包被导入时触发，而非在安装时，直接绕过新的默认值，也绕过 --ignore-scripts。整个生态系统刚花了一年学会盯防的机制，早已移动了位置。唯一没有移动的，是恶意版本的新旧——而那正是 Bromure 的时效闸门所检查的信号。
AI Now Institute 的 Friendly Fire 展示了这样一幕：一个被要求审查不可信库的编码代理，读到一个推荐运行某安全脚本的 README，照做运行，宿主随即被攻陷——没有批准提示，模型里也没有对应的 CVE。研究者说这无法在模型层面修补，唯一真正有效的做法，是不让一个摄入不可信代码的代理触及你的密钥、机密或宿主。而那，正是 Bromure Agentic Coding 运行代理的地方。
Sophos 查看了一周的端点遥测数据，发现 AI 编码代理触发了那些用来抓攻击者的同一批规则。被拦截活动中超过一半是凭据访问——代理解密浏览器保存的密码、掏空 Windows 凭据保险库、杀掉浏览器进程以读取其存储。无论谁发起，这种行为都有风险。它之所以能碰到那些存储，只是因为代理跑在你的机器上、以你的身份、带着你的触及范围。把代理挪到一个 hypervisor 之外，端点上就没有任何东西可供它触及了。
GhostApproval 展示了一个恶意仓库如何诱使六款 AI 编码助手在它们本应停留的文件夹之外读写文件：植入 SSH 密钥、劫持 shell 启动、读取开发者自己机器上的云凭证。漏洞本身是一个跟随符号链接的失误；它之所以伤人，是因为代理跑在一台装满你机密的机器上。Bromure Agentic Coding 改变的是后一个事实。
Noma Security 的 GitLost 展示了一名未经认证的陌生人开一个公开的 GitHub issue，就让 GitHub 的 AI 代理把一个私有仓库的内容以公开评论的形式贴了回来。上标题的是提示词注入。而代理的令牌——作用域覆盖整个组织，而非它正在分诊的那一个 issue——划定了泄露能走多远。任务所需与环境所持之间的那道缺口，才是值得带回家的部分，也是当你自己托管代理时可以换一种设计的部分。
CVE-2026-21852 是 Claude Code 中一个已修复的漏洞：一个仓库可以在其项目设置里设置 ANTHROPIC_BASE_URL，于是在你回答“信任此文件夹”之前，代理就把它自己的 Anthropic API 密钥以明文发给了攻击者的服务器。这次攻击没有运行任何代码，也没有读取你磁盘上的任何东西；它改掉的，是代理寄送那份它须臾不可缺的凭据的地址。Anthropic 修复了时序。Bromure Agentic Coding 则把那把密钥彻底留在代理的世界之外。
让两个编码智能体针对同一个仓库工作，它们会在同一个工作树上互相冲突。git worktree 通过在同一份共享历史之上建立 N 个独立检出来解决这个问题。Bromure Agentic Coding 把它变成了一键原语：输入一个任务名，就能得到一个独立分支、一个独立检出，以及一个正在其上工作的智能体，每个都在一次性 VM 里拥有自己的标签页。
2026 年 7 月 1 日，Cato AI Labs 披露了 DuneSlide：Cursor 中的两个严重漏洞（CVE-2026-50548 与 CVE-2026-50549，CVSS 均为 9.8），其中一个搭着 MCP 工具结果或网页搜索片段而来的提示词注入，驱动 run_terminal_cmd 工具和一个符号链接兜底逻辑，去覆写 Cursor 自己的沙箱辅助程序。守卫从内部被悄悄关掉，而下一条命令便以开发者的身份运行，触手可及编辑器登录的任何云或 SaaS。无需用户交互，已在 Cursor 3.0 中修复。这是一个关于边界应当身处何处的故事：在 Bromure Agentic Coding 中，同样的逃逸落进一台一次性 VM 里，逃逸出来的 shell 在本该是真令牌的地方只找到被换掉的桩值，而 PromptGuard 早在模型据以行动之前，就在线缆上给那段不受信任的内容打了分。
一位开发者在运行 Claude Code，眼看着一个提示词注入搭着后台 `find` 的输出溜了进来，冒充他自己的口吻，在他还没敲下一个字之前就改写了代理的计划。什么都没坏——只因为被引用的那个文件恰好不存在。这正是 Bromure Agentic Coding 要堵上的那种失效模式：你所下达的指令，与代理仅仅读到的东西，两者之间那道缺失的边界。
2026 年 6 月 25 日，0DIN 发布了一个概念验证：一个看上去再正常不过的 GitHub 仓库里完全没有任何恶意代码。反向 shell 藏在仓库会去查询的一条 DNS TXT 记录里，离 Claude Code 读到的任何东西都隔着三步，而代理是在从一次例行的安装错误中恢复时把它跑了起来。你的扫描器和你的代码评审永远看不到的那个载荷，正是没有人提交过的那一个；而决定结果的，是代理到底跑在你的笔记本上，还是隔着一道 hypervisor 边界跑在它之外。
2026 年 6 月 26 日，Wiz 披露了 CVE-2026-12957：一个克隆下来的仓库里的 `.amazonq/mcp.json` 让 Amazon Q 自动启动 MCP 服务器，而这些服务器继承了开发者的完整环境——AWS 密钥、云 CLI 令牌、API 机密以及 SSH agent 套接字，对服务器本身却没有单独的同意环节。一次「信任此工作区」的点击，替代了为生成携带你实时云会话的后台进程而本应有的确认。Amazon 在 Language Servers 1.69.0 中修复了它。这里说明为什么这次修复堵住了一个产品却没堵住这一类问题，以及当打开仓库的智能体运行在按 profile 隔离的 Bromure 虚拟机里、位于凭据代理、读写护栏和虚拟机监控级追踪之后时，会有什么不同。
一款名为 Bluekit 的工具包不再去伪造登录界面。它从攻击者掌控的浏览器里把真正的那张登录页面流式传给你，在你登录的那一刻劫走你的会话，并绕过 MFA。再敏锐的辨假眼力都拦不住它，而一把通行密钥却能——这正是 Bromure 让一个配置文件只共享你 Mac 上的通行密钥的原因。
Zscaler 发现了一个名为 Edgecution 的后门，它运行在一个受害者从未打开过的 Microsoft Edge 窗口里，然后利用 Native Messaging——扩展用来与桌面应用通信的合法通道——在宿主机上执行命令。值得一问的是：当浏览器运行在一个用完即弃的虚拟机里时，这座通往宿主机的桥梁究竟能触及什么。
OpenRouter 公布了一个引人注目的结果：一组模型，经评审与综合之后，胜过任何单个前沿模型。我们在 Bromure Agentic Coding 内部从零把这套技术重新实现了一遍——没有任何东西经过 OpenRouter。由于产品本就坐在你的编码 agent 和模型 API 之间的电线上，3.0 版把我们自己的 Fusion 直接放到了那里。点亮标题栏里的 ⚡，每个 prompt 都由至多三个模型同时作答。一个评审者调和它们，一个综合者写出结果，Claude Code 拿回单一答案，仿佛出自一个模型之手。用你自己的 key 或订阅，每一条 leg 都记进 trace。
Bromure 用两个在设备本地运行的分类器，扫过它的编码智能体读到的一切。工具输出和网页抓取里的提示注入，交给 Meta 的 Llama Prompt Guard 2 处理。一份流氓 CLAUDE.md 需要的完全是另一个模型——对一份本来就通篇皆指令的文件，注入检测会在每一行上报警——所以我们改为微调 ModernBERT 来分类危害。本文给出完整管线：收割良性语料、合成恶意样本、条款级加窗、训练循环，以及 ONNX 导出，细节足以复现。
沙箱要求开发者做一笔交换，拿走那份让编码智能体值得一跑的速度——预先批准每一个依赖，维护一张域名白名单，绝不碰一个组织没审过的包。于是开发者把它关掉。Bromure Agentic Coding 拒绝这笔交换。它不去约束智能体做什么；它只在 hypervisor 处划下一条硬线，让你在里面想做什么都行。这是一篇奠基性的论述，讲清楚为什么一条边界胜过一个沙箱，以及这条边界让哪三项保证成真：没有凭证可偷、宽泛的令牌在线路上被收窄、供应链攻击在 tarball 落地之前就被挡下。——再加上这条线如今让其成真的第四项：提示注入在智能体所读的内容里就被抓住，赶在模型服从它们之前。
2026 年 6 月 5 日至 6 日，Miasma 蠕虫把窃取凭据的代码推进了 Microsoft 自己的四个 GitHub 组织——Azure、Azure-Samples、microsoft、MicrosoftDocs——下的 73 个仓库里，其中包括官方部署 Action 的 Azure/functions-action，以及 durabletask 这个早在 5 月就已经被清理过一次的仓库。这一次，载荷没有等到 npm install。当一名开发者在 Claude Code、Cursor、Gemini CLI 或 VS Code 里打开这个仓库的那一刻，它就触发了。这篇文章讲的是为什么信任信号——「它是 Microsoft 的仓库」——又一次成了攻击面，以及当打开它的代理运行在一个按配置文件隔离的 Bromure VM 里、在一个凭据代理、一道读写护栏和一段包冷却期之后时，什么会发生改变。
四月底，一个跑着 Claude Opus 4.6 的 Cursor 智能体，被派去修复一家名叫 PocketOS 的小型 SaaS 的 staging 问题。它猜测删除一个 Railway 卷只会作用于 staging，没去核实，于是在九秒内抹掉了生产数据库连同它的备份。事后它说自己本该先问一声。Bromure Agentic Coding 2.2 推出一道护栏，把「本该先问」这件事从智能体手里拿了出来。
github.dev 里的一个零日漏洞，让一个恶意预览窗格得以逃出它的沙箱、悄悄安装一个扩展，并读到一个能访问受害者所能触及的每一个私有仓库的 GitHub OAuth 令牌。官方修复对自身的局限很坦诚——而更高明的一招，是一开始就别把你的令牌带进一个陌生人的仓库。
2026 年 5 月底到 6 月 1 日之间，一个名为 Miasma 的蠕虫把窃取凭据的代码推进了 @redhat-cloud-services npm scope 下的 32 个包里——那是 Red Hat 自己的命名空间，每周约 11.7 万次下载，由 Red Hat 真实的发布流水线签名。没有可供识别的 typosquat，也没有可供标记的未知维护者。信任信号就是 scope 上厂商的名字，而厂商的名字恰恰是攻击者乘虚而入所凭借的东西。这篇文章讲的是为什么「优先选择信誉良好的发布者」不再是一种防御，以及当执行安装的代理运行在按配置文件隔离的 Bromure VM 里时，什么会发生改变。
一场新活动租用了一个你早已信任的域名的信誉。一条 Google 广告把你送到一个真实的 chatgpt.com 分享链接，分享链接显示一份伪造的故障通知，通知再把恶意软件递到你手上。这里讲的是这份信任是怎么被借走的——以及当整件事发生在一台用完即弃的虚拟机里时，这份借用为什么就不再重要了。
上周谷歌不小心把一个四年前的 Chromium 漏洞重新公开了——一个 service worker 在浏览器关闭后仍然在跑 JavaScript，影响所有主流 Chromium 浏览器，至今未打补丁。概念验证已经流到了野外。有意思的问题不在于它怎么工作，而在于：当你关闭标签页时，它所依附的整台底层机器就会消失——在这样的浏览器上，「持久化」到底意味着什么。
2026 年 5 月 18 日，Lasso Security 披露了针对 Nvidia NemoClaw 的两起攻击——NemoClaw 就是运行 OpenClaw 自主编码代理的那个沙箱。沙箱完全按照 Nvidia 描述的方式运转。沙箱里的代理依然把用户的 GitHub 令牌推送到了攻击者控制的拉取请求里，编码成 emoji，从而绕开了 GitHub 的静态密钥扫描器。有意思的问题不是沙箱是不是坏了，而是：一个把明文凭据文件放在自己内部的沙箱，从架构意义上说，到底算不算沙箱？以及，这个答案对所有在 2026 年发布编码代理的人意味着什么？
2026 年 5 月 11 日那一周的某个时刻,Shai-Hulud 背后的人——这条自 2025 年 9 月以来一直在吞噬维护者账号的自复制 npm 供应链蠕虫——把自己的源代码泄露了。到了周末,OX Security 在同一个账号下发现了四个 typosquat npm 包,其中一个几乎是泄露蠕虫的逐字拷贝,另一个是 Golang DDoS 僵尸程序,剩下两个是把 SSH 密钥和加密货币钱包发往廉价 C2 的普通信息窃取器。供应链攻击的复刻门槛刚刚被大幅拉低,而最有可能装上这些包的人,已经不再是人。
Uber 在四月就把 2026 年全年的 AI 编码预算烧光了。CTO 回到了起点——不是因为工具不行，而是因为没人能把一美元的 token 消耗对应到任何一次实际交付的改动。Agent 没问题，问题在可见性这一层。下面是它看起来的样子，以及当每一次 agent 会话都变成结构化记录而不是一屏滚动输出之后，会发生什么变化。
2026年5月11日，一个名为Mini Shai-Hulud的npm蠕虫在@tanstack命名空间的42个包中添加了optionalDependencies行。安装其中任何一个都会执行一个Bun脚本，该脚本从GitHub Actions环境中获取OIDC令牌，用它发布更多具有有效SLSA来源的受损版本，将自己复制到.claude/中以便在下次编码代理启动时使用，并泄露从~/.aws到您的加密货币钱包的所有内容。这些包都是签名的。证明是有效的。这里展示了攻击链是什么样子的，以及当执行安装的代理在Bromure per-task虚拟机中运行时会发生什么变化。
2026 年 5 月 11 日，Apple 发布了 macOS Tahoe 26.5，带来约七十项安全修复，其中包括十个 WebKit 漏洞。本文按 CVE 类别逐一过一遍这份 WebKit 清单，并提出 2026 年唯一值得问的那个问题——在一台跑着 Bromure 的机器上，这个漏洞究竟能够到什么。
4 月 22 日，有人往 npm 上传了一个名为 @bitwarden/[email protected] 的恶意包——一个抢注式拼写错误包，会把任何运行它的机器上的 SSH 私钥、AWS/Azure/GCP 凭证、GitHub token、npm 发布 token 和 kubeconfig 一并扫走。它瞄准的目标，恰好是当今编码智能体不假思索就在做的事：npm 返回什么就装什么。本文展示这条攻击链长什么样，以及当智能体跑在 Bromure 虚拟机里、而不是你的笔记本上时，会有什么不同。
一个名为 BlackFile 的新型勒索团伙正在给零售和酒店业的员工打电话,假扮成 IT,把他们诱导到伪装的企业登录页面,让他们输入凭据和一次性验证码,然后在真正的账号上注册自己的 MFA 设备。电话本身不受任何浏览器的影响。但用户输入信息的那个页面,会受到影响。
本周披露的 Vercel 入侵事件,始于 Context.ai 的一名员工在个人电脑上下载 Roblox 作弊器,终于攻击者读取到 Vercel 客户的环境变量。本周发布的 Bromure 企业版,正是为这种攻击链而生。
Cisco Talos 的 2026 年第一季度事件响应报告把钓鱼重新推回初始访问向量的榜首；在报告内部，记录下了 Talos 首次归因于 AI「氛围编程」构建器的一个案例——一张 Outlook Web Access 仿冒页面被架设在 `*.softr.app` 子域名上，把窃取的凭据外发到一个一次性的 Google Sheet。URL 信誉系统完全看不到它来了。正确的答案，在技术栈的更下层。
Claude Mythos 的一个早期版本帮助 Mozilla 在单一 Firefox 版本中发现了 271 个安全漏洞。正确的反应既不是恐慌，也不是庆祝——而是悄悄地重新校准：对于我们发布、使用或在其之上构建的每一款浏览器，我们仍然必须抱有什么假设。
一个假 CAPTCHA 把一行 PowerShell 写进剪贴板。用户按下 Win+R 然后粘贴。不需要沙箱逃逸，不需要零日漏洞，不需要签名二进制——人就是那个漏洞。这里是我们今天拿得出手的对策、仍然存在的缺口，以及 Apple 在 macOS 26.4 里做对了什么、又做错了什么。
微软公布了一条九阶段的勒索软件攻击链，起点是一条冒充 IT 帮助台的外部 Teams 消息，终点是 Rclone 悄无声息地把网络共享的数据偷出去。其中八步都要靠宿主操作系统。没有一步能跑在一个标签页里。
一个操作者用五个伪造的发布者身份，往 Chrome Web Store 里塞了 108 个恶意扩展，累积大约两万次安装，并把所有流量都导向同一台命令与控制服务器。审核机制没拦住。这就是一款以安全为先的浏览器为什么必须采取更硬的立场。
一步步拆解 Bromure 的反钓鱼机制——本地扫描、模型、判定，以及我们为什么恰恰是为你的父母、你的祖父母和对门邻居打造了它。
LinkedIn 悄无声息地探测 6000 多个浏览器扩展、收集 48 项设备属性，每次访问都通过 WebRTC 抓走你的 LAN IP。解法不是某个隐私开关——而是一种形态完全不同的浏览器。
网络充满敌意，安全建议正在失效，而 AI 又改变了游戏规则。这就是我们为何打造一款替你扛下压力的浏览器。
苹果和谷歌如今每年要花数千万美元去寻找并修复浏览器漏洞。但每年仍有八到十个正在被实际利用的浏览器零日漏洞。这篇文章讲清楚为什么这笔账算不过来、Claude Mythos 和「漏洞末日」将如何让情况变得更糟，以及为什么一款从一开始就假设自己会被攻破的浏览器，是一种截然不同的产品。
大多数广告拦截器都是浏览器扩展程序，而大多数浏览器扩展程序，又恰好与它要保护你免受其害的那个页面，运行在同一个进程里。Bromure 的做法不一样。下面讲讲它是怎么做的，以及为什么这很重要。
绝大多数勒索软件并不是从零日漏洞开始的，而是从一个浏览器标签页开始的。下面就是 2026 年攻击链实际运转的方式——以及当它撞上一款从一开始就准备好挨打的浏览器时，会是什么样子。
VPN 到底在做什么，它做不到什么，为什么在 Bromure 中以配置文件为粒度运行 VPN 会改变匿名性的格局，以及 Cloudflare WARP 在引擎盖下究竟是怎样运作的。