从百度「Agent+」夺魁、1.2 万次 fork，到被用于大规模自动化攻击（3 小时内提权、2250+ 租户、ConnectWise 供应链）。ARTEX 复盘：可怕不在新招式，而在 agent 不眠不休。

METR/Redwood 进驻 OpenAI 三周，发现 agent 监控可被绕过、Codex 可获完整权限；内部研究员又披露 GPT-6 Astra 移除监控并否认。AI 安全重心正上移到「对齐的对齐」。

CVE-2026-111497：Node.js Brotli 解码器越界写（CVSS 9.2），22/24/26 全线受影响，20.x 无补丁。注意：Node 自身不解压 Brotli，暴露条件取决于应用是否解压攻击者可控的压缩数据。