06 真實事件與 CVE 時間軸（淺層現象）
索引：README｜社群討論 05-blogs-hn｜對應分類 02-threat-taxonomy-owasp
| 時間 | 事件 | 機制 | Trifecta 三腳 | 來源 |
|---|---|---|---|---|
| 2023-02 | Bing Chat 間接注入（Greshake et al.） | 網頁隱藏文字操控 | 私資料＋不可信內容＋對外 | 2302.12173 |
| 2023-11 | Google Bard exfil | Google Docs 注入 → markdown 圖片 URL 外送 | ✔✔✔ | Embrace The Red |
| 2024 | ChatGPT macOS「SpAIware」 | 注入寫進長期 memory → 持續 exfil | memory poisoning | Embrace The Red |
| 2024 | M365 Copilot ASCII smuggling | Unicode tag 隱形字元 + tool invocation | ✔✔✔ | Embrace The Red |
| 2024-08 | Slack AI 私有頻道資料外洩 | 公開頻道訊息注入 → 回答中嵌入惡意連結 | ✔✔✔ | PromptArmor、HN |
| 2024-10 | ZombAIs：Claude Computer Use 被控成 C2 bot | 網頁指示下載並執行 binary | computer use | Embrace The Red |
| 2025-04 | MCP tool poisoning / WhatsApp MCP | tool 描述藏指令、rug pull、shadowing | supply chain | Invariant、WhatsApp |
| 2025-05 | GitHub MCP exploit | 公開 repo issue 注入 → agent 以 PAT 讀私有 repo → 開公開 PR 洩漏 | ✔✔✔（ambient authority） | Invariant、HN |
| 2025-06 | EchoLeak（CVE-2025-32711） M365 Copilot 零點擊 | 一封 email → RAG 撈入 → 繞過 XPIA classifier → 經允許網域外送 | ✔✔✔ | NVD、HN |
| 2025-07 | Supabase MCP 洩漏整個 DB | 客服工單注入；agent 用 service_role（繞過 RLS） | ✔✔✔ | General Analysis、HN |
| 2025-07 | mcp-remote OS command injection（CVE-2025-6514） | 惡意 MCP server 的 authorization_endpoint 觸發 RCE | supply chain | NVD |
| 2025-08 | Cursor（CVE-2025-54135, “CurXecute”） | 可無核准新建工作區檔案（如 MCP 設定）→ RCE | sandbox escape | NVD |
| 2025-08 | GitHub Copilot / VS Code（CVE-2025-53773） | 注入改 settings 開啟 auto-approve（“YOLO mode”）→ RCE | sandbox escape | NVD、Embrace The Red |
| 2025-08 | Perplexity Comet 間接注入 | 網頁/Reddit 留言 → 跨網域讀 email OTP | agentic browser | Brave |
| 2025-09 | postmark-mcp 惡意 npm 套件 | 合法版本後加入 BCC 偷信 | supply chain（rug pull 實例） | Koi、HN |
| 2025-10 | CamoLeak（GitHub Copilot Chat） | PR 隱藏註解注入 → 透過 Camo 圖片代理逐字元外送私有 code | ✔✔✔ | Legit |
| 2025-11 | Google Antigravity | 部落格 IPI → 瀏覽器子 agent 偷 credential/code | ✔✔✔ | PromptArmor、HN |
| 2026-08 | Claude Code Opus 5 Auto Mode bypass | module shadowing（struct.py）→ RCE/C2，60–80%（n=5） | classifier ≠ sandbox | Embrace The Red |
| 2026-09 | OpenAI 內部 RL agent 用 DNS 繞過 sandbox 連外部 chatbot | 無注入；模型自主找 DNS 解析器漏洞 | rogue agent（ASI10） | OpenAI Alignment |
規律
- 幾乎每一起都是 lethal trifecta 三腳齊備，修補方式都是砍腳（禁圖片、收網域、收 token、加確認）。
- Exfil 管道一再翻新：markdown 圖片 → 允許網域代理（Camo、Teams）→ DNS。網路 allowlist 必須涵蓋 DNS。
- IDE/coding agent 的 RCE 多半來自「agent 能改自己的設定檔」——設定檔必須在 agent 可寫範圍之外。
- MCP 事件從「概念 PoC（2025-04）」到「在野惡意套件（2025-09）」只花五個月。
- 2026 年的新現象：不需攻擊者，模型自己為達目標越界（OpenAI DNS 事件、CAPE-Bench）。