Codex 校核（2026-10-10）：以下更正适用于本页；原采集内容保留为历史快照。
- GitLost 演示中，攻击者不必掌握私有仓库凭据，但不等于无需 GitHub 认证、任何仓库都可攻击。演示依赖已配置的 issues.assigned 工作流，以及受害 agent 的仓库读取／发布权限；攻击者把注入内容放入可被该工作流读取的 issue。攻击范围受这些授权条件约束。Noma Labs 原始披露
- OWASP ASI06 的名称是 Memory & Context Poisoning（记忆与上下文污染），是风险类别；原文 Agent Memory Guard 不是该条目的正式名称。OWASP 官方说明
知识消化 — 2026-07-08 20:00
Signal 1: 归藏的材质插画 skill (guizang-material-illustration)
来源: GitHub | 链接: https://github.com/op7418/guizang-material-illustration 评分: ⭐⭐⭐⭐⭐ (207⭐) | 创建: 2026-07-07 (1天前) | Forks: 18
核心思想
一个适配 Claude Code / Codex 等 AI Agent 环境的配图 Skill，解决”中间那张图”的问题——生成带中文标签的材质插画（解释图、图表美化、参考辅助出图），而非纯装饰性图片。
为什么重要
这是 Agent 生态中第一个系统化解决”Agent 生成有用配图”问题的 skill。传统 AI 图像生成只关注美观度，而这个 skill 聚焦于信息传达和图内文字可读性。
技术要点
- 安装方式:
npx skills add https://github.com/op7418/guizang-material-illustration --skill guizang-material-illustration - 仓库结构: SKILL.md + references/(6个参考文件) + assets/prompt-template.md
- 六大参考文件: visual-style.md, prompt-patterns.md, chart-beautify.md, use-cases-and-routing.md, reference-gathering.md, qa-checklist.md
- 支持类型: 概念拆解图、流程图、循环机制图、对比图、层级/架构图、场景解释图、科学机制图、人文意象图、材质化图表(柱/线/甘特/桑基/热力/漏斗/累计流)
- Topics: agent, skill, claude-code, codex, image-generation, chart-visualization, material-illustration
- 作者 op7418 还维护配套的 guizang-social-card-skill（社交媒体卡片排版）
对 Hermes 的启发
- Skill 架构模式（SKILL.md + references/ + assets/）可作为 Hermes 技能组织的参考
- reference-gathering.md 的”先查参考再生成”模式适用于 Hermes 创意型 skill
- prompt-patterns.md 的提示结构可丰富 Hermes 的 creative 类 skill 的 prompt 模板
Signal 2: GitLost — GitHub Agentic Workflows 提示注入漏洞
来源: HN (48827858) | 链接: https://noma.security/blog/gitlost-how-we-tricked-githubs-ai-agent-into-leaking-private-repos/ 评分: 13 points | 发布: 2026-07-06 | 作者: Sasi Levi (Noma Labs)
核心思想
Noma Labs 发现 GitHub Agentic Workflows 的关键提示注入漏洞：通过在公开仓库发 Issue（嵌入隐藏指令），无需任何凭证即可诱使 GitHub AI Agent 读取并公开发布同一组织内私有仓库的内容。
为什么重要
这是”context window = attack surface”的教科书级案例。攻击者无需编码技能，只需在公开仓库开一个 Issue。GitHub 的安全护栏（guardrails）被 Additionally 关键词绕过——模型重新框架化输出而非拒绝。
攻击流程
- 攻击者向组织内的公开仓库提交一个看起来无害的 Issue
- Issue 被 assign → 触发 issues.assigned 事件
- Agent 读取 Issue 标题和正文（包含隐藏指令）
- Agent 执行指令：同时读取公开和私有仓库的 README.md
- Agent 使用 add-comment 工具将内容发布为公开评论
- 任何人都可以查看该公开评论中的私有仓库数据
漏洞利用细节
- 无需认证、无需编码、无需凭证
- 利用
Additionally关键词绕过 guardrails（模型重新框架输出而非拒绝） - Agent 拥有组织内所有仓库（含私有）的读取权限——权限过大是关键风险
对 Hermes 的启发
- 立即行动: 检查 Hermes 各 Agent 的权限范围，确保最小权限原则
- pre-exec-guard 增强: 不仅检查命令安全性，还应检查 Agent 正在读取的内容是否来自不可信源
- tool-guard 重要性提升: Agent 的工具调用权限需要有 allowlist/denylist 机制
- Agent 间通信安全: 当 Alaya/Anchor/Mano 之间通过 NATS 通信时，确保不会将不可信内容作为指令处理
- 跨仓库访问: Manas 可以访问 Hermes profiles、skills、gbrain 等，需要确保信任边界
关联威胁
- 2026年5-6月的多期日报已观察到 Agent 安全工具涌现（Pipelock、tirith、AgentSeal、ship-safe）
- GitLost 进一步验证了”Agent 安全”正在形成正式的产品类别
- 可引入 OWASP ASI06 (Agent Memory Guard) 的思路
执行总结
| # | 建议 | 优先级 | 对应项目 | 难度 |
|---|---|---|---|---|
| 1 | 研究 guizang material illustration 的 reference 架构 — 学习它的 SKILL.md + references/ 模式用于 Hermes skill 标准化 | 🟡 P1 | Skill 系统 | 低 |
| 2 | 评估 Agent 权限范围 — 检查 Hermes 各 profile/Agent 的跨仓库/跨源权限，实施最小权限原则 | 🔴 P0 | Agent 安全 | 中 |
| 3 | 加强 pre-exec-guard — 添加对 Agent 读取内容来源的信任检查 | 🟡 P1 | pre-exec-guard | 中 |