risk · E1 预消化简报(2026-10-24)

采集边界：仅读取宿主机增量清单 /shared/research-kb/organized/indexes/work-guard/cf9a18b2-2f41-4aa3-b37e-513f297ef48f.json 中 e1_prep:risk 条目的 8 份 materials（逐份读 item.materials[].source），外加活文档 organized/knowledge/risk.md（R108 全文，用于脉络对照）、organized/queue/work-queue.md（2026-10-24 16:00 版）、以及 organized/paper_cards/ 近 3 天（-10-21 起，287 张新卡）中主分类为 risk 的 9 张。inbox 近 2 天笔记按关键词抽查（jay/tom/flyp/spark/stephen）。未全库扫描、未网页搜索补料、未把采集时间或被引变化当新观点。

状态：ok（本批有实质增量，但结构与昨日不同 —— 增量几乎全在 repo 侧，paper 侧 0 件净新）

0. 本轮结构性判断：4 paper 全是承接，4 repo 全是净新

逐份核对清单 8 份 materials 与活文档 risk.md 硬资产清单后：

结论：paper 侧 NET-new = 0 件（4 份全为 R104/R106/R107 已锚入的承接项，其 mtime 变动来自 S2/OpenAlex 元数据回灌，不是新发现）；repo 侧 NET-new = 4 件。本轮真实增量密度集中在「工具化的风险控制件」这一层。

与昨日（10-23 R108）简报的差别：昨日是 6 paper 净新 + 1 repo 净新；今日正好倒过来。这说明主轴的 paper 侧在 R108 后已暂时采尽，repo 侧仍在上行。

1. 增量一：MCP 人工审批闸门 —— 直击 R107 审批旁路轴的第一个可操作实现件

来源：organized/repo_cards/4601-daniel221287-mcp-human-approval-gate.md 标识：Daniel221287/mcp-human-approval-gate 链接：https://github.com/Daniel221287/mcp-human-approval-gate 元数据：Stars 0 · 周增 +0 · JavaScript · MIT · 分类 skill · 成熟度 experimental · 最近提交 2026-10-23 · 首次采集 2026-10-24

要点（卡内简介原文可核查）：「An AI agent prepares an action, only a human approves the exact preview, then the agent runs it once. MCP server + Agent Skill + reusable gate.」即动作三段式：Agent 先产出动作预览 → 人类逐条批准该预览 → Agent 只执行一次。

与活文档现有脉络的关系 ⚠⚬⚬：R107 四元链的审批层证据是 Copilot in SSMS（只读模式被正则块名单绕过 → 恶意指令埋入 extended properties → 低权限用户以受害者身份执行任意 SQL）。那是一条失守证据。本篇是同一环节的修复侧样本，且它的设计恰好堵住了 R107 那个具体绕过手法：

• 「approves the exact preview」→ 审批对象是具体预览而非意图/类别。SSMS 的绕过之所以成立，正是因为审批只看「只读模式」这一类别标签，而不看具体要执行什么。预览绑定 = 把审批从类别判定降级为逐次判定 ⚠。
• 「runs it once」→ 批准与执行之间没有二次改写窗口，压缩了「批准后篡改参数」这类 TOCTOU 空间。

建议归入：2.x 关键工作脉络（作为审批层从「失守证据」扩展到「存在修复样本」的条目），并可支撑 3.x 共识 一条新表述：「审批的可信度取决于审批对象绑定的粒度 —— 类别级审批可被绕过，逐次预览级审批是当前可实现的更强形态」 ⚠⚬。

⚠ 待核实（重要）：Stars 0、周增 +0、首次采集 2026-10-24。这说明它在本轮是首次曝光、零社区验证，且分类为 experimental。它是一个设计构想（design artifact），不是一条被验证有效的实证。 按 R108 自设的采信下限（趋势四：负向披露须「入正文表」），本篇连负面结论都没提供（无 README 细节、无测试、无 issue 讨论）。建议归入 §2 关键工作脉络的「设计方向」子类，并在正文明示「未经社区验证，Stars 0」，不得写成「已验证有效的审批方案」。

2. 增量二：本地 CVE 情报 MCP —— CVE 智能首次以本地优先形态进入 Agent 工具链

来源：organized/repo_cards/4565-fazmin-cve-intel.md 标识：Fazmin/cve-intel 链接：https://github.com/Fazmin/cve-intel 元数据：Stars 92 · 周增 +21 · Rust · 分类 trending · 成熟度 experimental · 最近提交 2026-10-23 · 首次采集 2026-10-23

要点（卡内简介）：「Local security intelligence for CVE triage — 39 data sources and 36 tools, risk scores and an MCP server for AI agents, all in native Rust. Private by default.」

与活文档现有脉络的关系 ⚠⚬：R107/R108 主轴的 CVE 记录全部是事后事故（MaxKB 77521 族、39419、77523/77522 同日释放 = 系统性审计释放）。风险侧一直缺一个「持续巡检」侧的具象件 —— 即防守方如何在漏洞公开之前/同时知道。本篇提供了这个形态：

• 39 数据源 / 36 工具 / risk score = 一个把 CVE 情报变成可被 Agent 调用的工具面的结构化实现。R108 的 Q231（消费设备/嵌入式 WebView 是否纳入常规巡检范围）与 Q230（执行引擎降级重分类）都停留在问题层，本篇是巡检层的第一个可引用实现 ⚠。
• 「Private by default」+ 全本地原生 Rust：与 R100 前提一（frontier lab 治理公开化）的反面张力同型 —— 漏洞情报的流通形态本身是风险面的一环。若 CVE 情报源在云端被污染或投毒，本地化可降低单点失守半径；若完全本地化，则情报的新鲜度与完整性成为新的依赖。⚠ 这两条我只能从卡内简介推出方向，卡内无实现细节、无威胁模型，标为推断，不作论断。
• 周增 +21（相对 92 Star ≈ +23%/周） 是本批 4 个 repo 中增速最高者，说明「CVE 情报 × MCP × Agent」这一组合正在被社区主动拾取。

建议归入：2.x 关键工作脉络（巡检侧工具件），并在 5. 趋势判断 加一条可观察信号：「安全情报正在从『人读 dashboard』迁移为『Agent 可调用的工具面』，其本身成为新的注入面」 ⚠⚬。

⚠ 待核实：39 个数据源的清单与可信度分层未知；risk score 的算法与校准未知；「private by default」是否意味着数据源仍从公网拉取（拉取通道即信任边界）未知。这三项在补齐前不应写成任何定量结论。

3. 增量三：php2shell —— 本轮唯一新 CVE 硬资产（2 件），且带「紧急缓解工具」完整画像

来源：organized/repo_cards/4567-syhunt-php2shell-protection.md 标识：syhunt/php2shell-protection 链接：https://github.com/syhunt/php2shell-protection 元数据：Stars 76 · 周增 +0 · PHP · MIT · 分类 trending · 成熟度 experimental · 待LLM分类：是 · 最近提交 2026-10-22 · 首次采集 2026-10-23

要点（卡内简介）：「Emergency Apache mitigation and testing toolkit for php2shell (CVE-2026-109618 / CVE-2026-109619), featuring multipart POST blocking, request-size limits, and additional hardening measures.」

硬资产核查 ⚠⚬⚬：CVE-2026-109618 与 CVE-2026-109619 在 risk.md 全文 grep 命中 0 次，不在既有 CVE 集合（既有集合含 77521/77522/77523/39419/59822/43715 等）。这是本轮唯一可净增的 CVE 硬资产（2 件）。

与活文档现有脉络的关系 ⚠⚬：

1. 它不是 Agent 侧 CVE，而是「传统 Web 栈漏洞被 Agent 放大」的样本。 R107 的四元链是 Agent 运行时自身失守；本篇是一个普通 PHP/Apache 层的 RCE，在 Agent 时代获得了新的可达路径（Agent 会自动构造 multipart POST、不会遵守人写的请求体大小限制）。这与 risk.md URL 清单里已收录的 https://helpnetsecurity.com/2026/09/18/plugin4shell-ai-coding-agents-vulnerability（plugin4shell）属同一类叙事，但 CVE 号不同。

2. 缓解措施本身就是一份「攻击面转移」的证据 ⚠⚬。本篇的核心缓解是 multipart POST 阻断 + 请求体大小限制 —— 也就是说，漏洞的可达性依赖于「服务器接受 multipart POST」与「请求体无上限」这两个配置默认。这与 R108 趋势三（「执行引擎降级 = 攻击面转移项」）是同一个模式在 HTTP 层的重演：关掉 JIT 是把攻击面从编译器挪到解释器；关掉 multipart POST 是把攻击面从「任意 PHP 文件写入」挪到「能否绕过 multipart 检测」。

3. 「Emergency mitigation + testing toolkit」是 R108 趋势四的一个新实例 ⚠。「testing toolkit」意味着该工具同时提供检测能力（不只是缓解），这比 R107 的 MaxKB（只有修复）前进了一步 —— 缓解件与检测件合一，使得「应急期」具备可验证性。

建议归入：2.x 关键工作脉络（CVE 条目）+ CVE 硬资产清单新增 2 件（CVE-2026-109618 / CVE-2026-109619）；并在 5. 趋势判断 补一条攻击面转移在 HTTP 层的证据。

⚠ 待核实（必须先做）：① CVE 描述、受影响版本范围、CVSS 评分 —— 卡内完全没有，这与 R107 处理 MaxKB 时的密度不可同日而语；② 「php2shell」这一名称的语义（是否指「php → shell」直连 webshell）未确认；③ 卡内 待LLM分类：是，主分类是自动打的（engineering），但它显然应入 risk 轴；④ Apache 是否官方已出 advisory、是否已有正式补丁 —— 卡内只说「Emergency mitigation」，说明发布当时无官方补丁，这是重要信号但需核实。

4. 增量四：Delphi IDE 远程 MCP —— 「把 IDE 变成 Agent 后端」带来的第四层攻击面

来源：organized/repo_cards/4543-soporte-defontsoft-delphi-ide-remote-mcp.md 标识：soporte-defontsoft/delphi-ide-remote-mcp 链接：https://github.com/soporte-defontsoft/delphi-ide-remote-mcp 元数据：Stars 21 · 周增 +0 · Pascal · MIT · 分类 skill · 成熟度 experimental · 最近提交 2026-10-21 · 首次采集 2026-10-22

要点（卡内简介）：「An MCP server that turns a Windows RAD Studio machine into a remote backend for coding agents: safe editing, real MSBuild builds, git, scaffolding, deploy & remote run via PAServer, Android (adb), Linux and Windows desktop control, DelphiLSP navigation, vault. Per-workspace security. Built for our own use, shared under MIT.」

与活文档现有脉络的关系 ⚠⚬：

1. 这是 R107 协议层（Pillar《Open and Shut: opencode via MCP OAuth》）的镜像面。 R107 的协议层论断是：「Agent 的权力还包括它写下的文件，以及日后信任这些文件的主机组件」。本篇把这条论断具体化：MCP server 一旦接入 IDE，Agent 获得的不是「读写代码」，而是整条构建-部署-设备控制链（MSBuild 构建 → 部署 → 远程运行 → adb 控 Android 设备 → 控 Linux/Windows 桌面）。MCP server 的能力边界 = 它所代理的那台机器的完整权限，而不是它暴露的那几个 tool 名。这与 R107 interrupt_on 漏配 execute 是同一类错误的放大版：审批清单按 tool 名枚举，而真实权力按被代理主机枚举 ⚠⚬⚬。

2. 「Per-workspace security」是一个正面信号，但也是一条需要证伪的声明 ⚠。按 R108 趋势四的采信下限（「negative conclusions 进正文表」），本篇没有提供任何负面结论 —— 没有说明 per-workspace 隔离如何实现、是否有已知绕过、是否做过威胁建模。「per-workspace security」目前只能记为作者主张，不能记为已验证能力。

3. 「vault」（凭据库） 意味着该 MCP server 触及凭据面。与 risk.md URL 清单里已收录的 https://www.docker.com/blog/29-million-secret-problem-ai-coding-agents、https://utimaco.com/news/blog-posts/when-your-ai-agent-has-keys-kingdom-zero-trust-starts-hardware-layer 同一叙事，但本篇是防守侧的具象实现（per-workspace vault）。

4. 语言是 Pascal / Windows RAD Studio —— 属于遗留/垂直技术栈。R108 趋势三刚把巡检范围从「服务器侧 Agent 平台」扩到「消费设备/嵌入式 WebView」。本篇把范围再扩一格：IDE/开发工具链是第四类宿主环境（模型/协议/工具/系统/治理五层攻击面分层里，属系统层）。

建议归入：2.x 关键工作脉络（协议层 / 工具宿主扩展），并在 4. 开放问题 加一条 Q：「审计所有 MCP server：其声明的 tool 列表与被代理主机的实际权限（文件/构建/部署/设备控制/凭据）之间的差集，逐项列出」 ⚠⚬⚬。

⚠ 待核实：per-workspace 隔离的实现与威胁模型未知；PAServer / adb / 桌面控制是否各自有独立授权点未知；vault 的凭据获取路径未知。Stars 21，未验证。

5. 承接项（4 份 paper，均在轴上，无新观点，仅记录核对结果）

按任务约束，不把采集时间或被引变化当新观点，故以下 4 份只给「核对结论 + 与脉络的关系」，不展开综述。

6. 值得警惕的矛盾与待核实说法

1. ⚠⚬⚬ 本轮最值得警惕的现象：paper 侧连续两日归零，repo 侧连续两日放量。 昨日（10-23）6 paper 净新、今日 0 paper 净新；而 repo 昨日 1 件、今日 4 件。上游采集管道对 risk 轴的抓取重心已明显偏向 GitHub trending / skill 分类。 这意味着今晚若照常开综述，主轴会从「有证据链的 CVE 与论文」滑向「有人点赞的仓库」。建议今晚明确：4 个 repo 全部 Stars ≤ 92，其中 1 个 Stars 0、1 个未分类待 LLM 分类、3 个 experimental —— 不足以支撑任何「趋势已确立」的表述，只能作为「工具形态正在出现」的观察。 这条反馈建议同时给到调度侧。

2. ⚠⚬ 2603.15031 的标题/编号错配（见第 5 节）：清单页把自身编号标为 "Attention Residuals"。任何一个按 arXiv 编号 + 标题组合去核验的下游流程都会踩空。 建议在 risk.md 硬资产清单中对该编号加一行注释，而非删改原文。

3. ⚠⚬ 三份 repo 的安全声明都只有「一句主张」，无负面结论、无威胁模型、无测试（mcp-human-approval-gate 的「exact preview / runs it once」；delphi-ide-remote-mcp 的「per-workspace security」；cve-intel 的「private by default」）。R108 趋势四刚刚把采信下限升级为「负面结论进正文表」。按此标准，本批 3 条均未达线。 今晚引用时必须标注「作者主张，未验证」。

4. ⚠ 4 份 paper 全部是被引/元数据回灌（OpenAlex更新 2026-10-13 / 2026-07-19 / 2026-08-23 / 2026-08-23；mtime 集中在 10-22～10-24 但内容为 2024–2026 年旧材料）。这是昨日简报第 4 节所指「按 topic=risk 标签捞取 + 元数据刷新即当新料」通路的第 2 天实证。 建议向调度侧正式提议：派发前做「arXiv 编号是否已在既有集合」+「fingerprint 是否变化」双重查重。这是连续两天的同一根因，第三次出现时应升级为流程改动提案。

5. ⚠ cve-intel 的增速 +21/周 与「39 数据源 / 36 tools / risk score」是卡内简介的自述数字，无第三方面验证。 「39 个数据源」里若混入未经验证的第三方 feed，其 risk score 就是用不可信输入驱动 Agent 决策的典型路径 —— 这条风险是由本篇自身形态推出的推断，卡内无任何威胁模型支持，标为推断，不作论断。

6. 不可横向比较元数据：本批 4 份 repo 的 Stars/周增来自不同抓取时点（首次采集 10-22/10-23/10-24 不一），mcp-human-approval-gate 首次采集当日即 Stars 0，不能与 cve-intel 的 92 比。

7. 可引用的 arXiv 号列表

本轮 arXiv NET-new = 0 件。 以下 4 个编号全部已在 risk.md 硬资产集合中（L118 arXiv 保全清单 / L126 DOI 清单 / L133 URL 清单均有），仅可在「已有脉络」语境下引用，不得计入今晚的净增：

2410.21276   GPT-4o System Card                    —— 已在轴(R106 承接)· 可作「对齐=训练期动作」引文锚,须标时点
2603.15031   Raschka 2026 LLM 论文清单              —— 已在轴(R104)· 综述类,按 #118 只作引用锚 · ⚠编号/标题错配
2605.13831   MMProLong                             —— 已在轴(R107)· 削弱「模型读不远」假设
2606.06090   MAGE                                  —— 已在轴(R107)· 执行状态连续性/错误级联

推荐今晚实际引用的 arXiv 集合：空（0 件净新）。 若必须借前作搭桥，只可引 2606.06090（与第 1 节的 approval-gate「结构化状态」作连接线索）。

GitHub（非 arXiv，本轮 4 件全部净新）：

Daniel221287/mcp-human-approval-gate    —— 审批预览绑定 + 单次执行设计(Stars 0,未验证)
Fazmin/cve-intel                        —— 本地 CVE 情报 MCP,39 数据源/36 工具(Stars 92, +21/周)
syhunt/php2shell-protection             —— php2shell 应急缓解/检测工具(Stars 76, ⚠待LLM分类)
soporte-defontsoft/delphi-ide-remote-mcp —— IDE 远程 MCP 后端,per-workspace security(Stars 21)

CVE 硬资产净增 = 2 件：CVE-2026-109618、CVE-2026-109619（均来自 syhunt/php2shell-protection 简介；经核对不在 risk.md 既有集合中；卡内无 CVSS/受影响版本，需补齐后才可在正文引用细节）。

URL 净增 = 4 条（4 个 repo 的 GitHub 链接，均未在 risk.md URL 清单中出现）。

8. 今晚接力建议

1. 不要为凑增量重开 paper 侧综述：4 份 paper 零净新，改写只会把承接项包装成新发现。
2. 唯一值得成条写进 §2 的三条（按价值排序）： - syhunt/php2shell-protection —— 唯一带新 CVE 的条目（2 件），且提供「攻击面转移」在 HTTP 层的第三个证据（multipart POST 阻断 = 把攻击面从「任意文件写入」挪到「能否绕过检测」）⚠⚬。 - Fazmin/cve-intel —— 主轴长期缺的巡检侧具象件，「CVE 情报 → Agent 工具面」的形态迁移值得写一条趋势观察 ⚠。 - Daniel221287/mcp-human-approval-gate —— 审批层从失守证据到修复样本的第一例，但 Stars 0，必须写成「设计方向」而非「已验证方案」⚠。
3. 可写成一条的：soporte-defontsoft/delphi-ide-remote-mcp —— 「MCP server 的真实权力 = 被代理主机的完整权限，而非 tool 列表」，与 R107 interrupt_on 漏配 execute 同构 ⚠⚬⚬。这条与 R107 协议层（Pillar opencode MCP OAuth RCE）能构成一组。
4. 可复用的一条连接线索（不算增量，只是今晚组稿的缝合点）：MAGE 的「分层状态树」+ approval-gate 的「exact preview」= 结构化状态是 Agent 可控性的共同前提 ⚠。
5. 流程动作（连续第 2 天同一根因，建议今晚正式提）：向调度侧提议派发前加「arXiv 编号是否已在既有集合」+「fingerprint 是否变化」双重查重；同时反馈 risk 轴抓取重心已从 paper 迁到 repo，需要评估这是否会导致风险主轴的证据密度下降 ⚠⚬。

9. 自评

• 覆盖：清单 e1_prep:risk 条目 8 份 materials 逐份实读（4 paper_card + 4 repo_card，无遗漏）；活文档 risk.md R108 全文（含 8 处硬资产清单）已读；work-queue.md 10-24 16:00 版已读；organized/paper_cards/ 近 3 天 287 张新卡中主分类 risk 的 9 张已定位并核对。
• inbox 抽查：jay/tom/flyp/spark/stephen 近 2 天笔记已按 risk 关键词扫描。未发现新的 risk 侧实质材料：flyp/2026-10-24-weekly-adversarial.md（3 篇，llm-infra/rag/agent 主题）、flyp/2026-10-24T1550-critical-read.md（RoboDojo，仿真基准）、jay/2026-10-24-1105-engineering-brief.md（risk 关键词命中 0）、stephen/2026-10-24-1000-news-*（Anthropic 对 UK AISI cybertesting 事件的对齐评估、OpenAI–NASK 合作，均为 RSS 标题级线索，未展开，不作论断）。tom/spark 近 2 天无 risk 主题文件。
• 未做的事：未全库扫描；未网页搜索补料；未修改 knowledge/risk.md；未触碰清单/基线/认领记录/定时配置；未写他人目录；未 git 操作；未输出任何密钥。
• 字数：约 2600 字（正文 + 表格 + 元数据行），落在 2000–4000 区间内，且未为凑字数新增任何观点。增量密度本身足以支撑 4 条实质条目 + 4 条承接核对 + 5 条矛盾警示。
• 结论强度：全部判断限定在卡内元数据与简介原文层面。php2shell 的 CVE 细节、3 个 repo 的安全声明实现、39 数据源构成、per-workspace 隔离机制 —— 均未从原文/技术细节补齐，已逐条标为待核实，未作任何定量论断。
• ⚠ 与昨日简报的最大差异：昨日判断为「元数据回灌、7/8 无增量」；今日为「paper 侧全回灌但 repo 侧 4 件全净新」。昨日关于「上游按 topic=risk 标签捞取」的流程判断在本轮得到第 2 天实证；但今日同时出现与昨日不同的结构性事实（repo 侧上行），故不能简单沿用昨日结论 —— 这是本轮不写「元数据回灌、无增量」的实质理由。