下注，留時間戳。

Unit 42 的 Behavioral Integrity Verification 研究發現 80% 的 agent skill 行為與宣告不符、18.9% 帶對抗性——這是一份獨立的第二資料集，落在我們掃 96,096 個 skill 得到的同一個結論上：agent-skill 供應鏈就是攻擊面。BIV 在安裝時驗證「宣告 vs 實際」；ATR 在 runtime 偵測攻擊本身。我們把他們的 29 能力 taxonomy 對映到 ATR，而他們的 canonical 憑證外洩 payload 曝出一個真缺口——一條我們的 shell 語法規則漏掉的 code-surface 鏈——於是我們補上 ATR-2026-02261。也老實說清楚接縫：ATR 只覆蓋 observed-behavior 那半,不做 manifest diff。

自己發布的數字最容易灌水,所以我們拿 ATR 去跑兩個不是我們做的開放 benchmark。在 OpenGuardrails(runtime 流量)ATR 在七個參考偵測器裡排第一、零誤報;在 OASB(靜態 skill 工件)它是全榜誤報率最低的——3,881 個良性 skill 零誤報——但 recall 低,因為 ATR 是 runtime 偵測器,不是套件掃描器。我們公開跑到的數字,包括 ATR 表現差的地方。

2026 年 5 月,NSA 發布 MCP 安全設計考量:8 項風險、9 條建議、零條可執行規則。其中兩條——追蹤修補 MCP CVE、過濾 agent 輸出管線——正是 ATR 規則庫在做的事。我們對映全部九條,也老實說清楚其餘:ATR 不是掃描器,也不產生 log。

本週這批 Critical 級 MCP/agent CVE 形態都一樣——被下毒的輸入經工具參數流進執行。我們拿 ATR 對它實測:gemini-mcp-tool 的 CVSS 9.8 與 PraisonAI 全部四個 CVE 都有專屬規則,在揭露後幾天內到位。CVE 落地到規則上線之間的差距,才是真正的指標——以天計,不是以週計。

NIST 2026 年 6 月的數學證明:沒有任何有限的 guardrail 集合能普遍抵禦對抗式 prompt — 防禦必須持續更新,不能一次到位。NVIDIA 推出安裝前 skill 掃描器說明了同一件事。ATR 就是為此而生的開放、持續更新規則層。

2026 年 4 月 Five Eyes 指引點名第三方 agent 元件(MCP server、工具、skill)為關鍵供應鏈風險，卻沒給檢查的工具。ATR 掃了五個 registry 的 96,096 個：1,302 個有風險、人工複審後 552 個確認惡意、三個協同發布者。

2026 年 6 月的 Shai-Hulud 新一波鎖定 AI agent 憑證：ANTHROPIC_API_KEY、Claude 設定檔、.mcp.json。規則 ATR-2026-00576 涵蓋憑證竊取階段。