内容
align="center src="https://aveproject.org/ave-logo-full.svg" alt="AVE — 智能代理漏洞枚举" width="280" />
<br/>
**智能代理分类标准**
每种技能文件、MCP服务器、系统提示或代理插件利用的方式都有稳定的ID、AIVSS分数和行为指纹 —— ，与框架安全团队已经报告的内容相映射。
[
[](ave-record-1.1.0.schema.json)
[](https://aivss.owasp.org)
[](https://ow)
[](https://atlas.mitre.org)
[](https://github.com/bawbel/ave/actions/workflows/tests.yml)
[-0f6e56?style=flat-square)](.github/workflows/tests.yml)
[](https://github.com/bawbel//workflows/codeql.yml)
[](https://github.com/bawbel/actions/workflows/dependency)
[](https://scorecard.dev/viewer/?uri=github.com/bawbel/ave)
[](SECURITY[](CODE_OF_CON)
[注册表://ave.bawbel.io/registry.html)架构](https://ave.bawbel.io/schema.html) · [交叉映射://ave.baw/crosswalks.html [架构](https://ave.bawbel.io/architecture.html) · [评分](https://ave.bawbel.io/scoring.html) · [扫描器](https://github.com/bawbel/scanner)
</div>
---
## 什么是AVE？
技能文件、MCP服务器清单和系统提示是指可执行的指令，而不是文档。任何加载它们的进程都会执行它们。没有编译器，没有类型检查器，没有沙盒。运行时是一个LLM，它语言并根据它执行操作。
现有的漏洞标准是为传统软件设计的标识特定产品和版本中的缺陷。OSV将它们映射到包和版本范围。两者都无法CP工具描述中隐藏的提示注入 —— 没有版本，没有易受依赖。危险在于执行*的内容，而不是它导入的内容。
**AVE填补了这一空白。** 它为智能代理中的不同行为类别分配了稳定的标识符，使用OWASP AIVSS v0.8进行评分，并将每个记录映射到OWASP MCP Top 10和MITRE ATLAS，以便发现结果能够在框架防御者已经使用的框架中落地。
AVE是一种标准，而不是产品。`bawbel-scanner`实现了它作为参考实现。任何工具都可以映射到它 —— 请参阅[实现指南](docs/ave-implementer-guide.md)了解如何```
您的CI流水线扫描依赖项以查找已知的包漏洞。
它不会扫描您的SKILL.md以查找提示注入。
AVE + Bawbel修复了这个问题。
```
---
## 它是如何工作的
**没有AVE：**
```
攻击者制作 开发人员交付 代理加载
恶意有效载荷 -> 技能文件 -> 技能文件
（未扫描） 在运行时
|
v
代理执行攻击载荷
泄露，凭证被盗，目标被劫持**使用AVE +bel扫描器：开发者提交 bawbel扫描在CI / 预提交中触发 发现被阻止
技能文件 在CI /中触发 ->部署前
|
v
AV2026-00001被检测到：
外部配置获取的变形有效载荷
SS 8.0 · 高 · owasp: MCP03, MCP04
第7行: "从...指令..."
```
---
统计数据
| | |
|---|---|
|数 | 56 |
| 架构版本 |1.0 |
| AIVSS v0.8 |
| 关键（>= 9.0） | 1 |
| 高（7.0-8.9） | 11 |
| 中等（4.0-6.9） | 43 |
| 低（< 4.0） | 1 |
| 框架：OWASP MCP Top 10 | 所有记录 |
| 框架RE ATLAS | |
|：OWASP 智能代理AI Top 10 | 适用时 |
| 框架：NIST AI RMF | 适用时 |
---
## AIV
每个记录都使用[OWASP AIVSS v0.https://aivowasp.org)进行评分：
```
AIVSS = ((CVSS_Base + AARS) / 2) x ThM x Mitigation
```
**AARS**（智能代理放大和可达性得分）是10个智能代理放大和风险因素（F）的加权和，每个评分范围为0-1.0：
| # | 为什么它很重要 |
|---|---|---|
| 1 | **自主性 代理在没有的情况下执行操作 |
2 | **工具 | 代理外部工具或API |
| 3 | **** | 代理与或生成其他代理交互 4 |确定性** | 行为在运行过程中不可预测 |
| 5 | **自我修改 可以在运行时修改自己的指令或内存 |
| 6 | **动态身份** | 在运行时承担身份 |
| 7 | **持久内存** | 跨会话保留状态 |
| 8 | **自然语言输入** | 通过自然语言的指令表面 9 | **数据访问** | 读取敏感数据（文件，环境变量，数据库） |
| 10 | **外部依赖**外部代码，技能或远程内容 |
**严重性等级：**
级 | AIVSS | 含义 |
| 关键 | >= 9.0即利用，泄露 |
| 高7.0-8.9 | 显著的数据丢失或特权提升 |
| 中等 | 4.0-6.9 | 需要审查的有意义的风险 |
| 低 | < 4.0 | 有限的影响或需要链接 |
**ThM（威胁成熟有效值：** `0.75理论上）0.90`PoC）1.0野外）
**示例计算 — AVE6-00001有效载荷```
AARF autonomy=1.0 tool_use= multi_agent.5 eterminism=1 self_modification=1.0
_identity=0.0 persistent_memory.5 natural_language_input=1.0
data_access=5 external_dependencies.0
= 1.01.0 + 0.51.0 + 1.0 + 0.0 + 0.5 + 1.0 + 0.5 + 1.0 = 7.5
CVSS_Base = 8.5 ThM = 1.0 () Mitigation_Factor = 1
AIVSS = ((8.5 +.5) / 2) x 1.0 x 1 = 8.0 高
```
记录索引
| ID | 标题 |SS | 严重性 |
|---|---|---|---|
| [AVE-2026-00001](records/AVE-2026-00001.json) | 通过外部配置获取的变形有效载荷 | 8.0 | 高 |
| [AVE-2026-00002](records/AVE-2026-00002.json) | 通过描述操作纵的工具中毒 | 7.3 | 高 |
| [AVE-2026-00003](records/AVE-2026-00003.json) | 通过凭证盗窃的数据泄露 | 8 | 中等 |
| [AVE-2026-00004](records/AVE-2026-00004.json) | 通过Shell管道注入的任意代码执行 | 5.9 | 中等 |
| [AVE-2026-00005](records/AVE-2026-00005.json) | 破坏性命令执行 | 5.6 | 中等 |
| [2026-00006](records/AVE-2026-000) | 通过钱包访问的加密货币耗尽7.5 | 高 |
| [2026-00007](records/AVE-2026-00007.json) | 通过提示注入的目标劫持 | 6.1 | 中等 |
| [AVE-2026-](records/AVE-2026-00008.json) | 通过自我复制的持久性 | 6.3 | 中等 |
| [AVE-2026-00009](records/AVE-2026-00009.json) | 通过安全约束删除的越狱 | 5.5 | 中等 |
| [AVE-2026-00010](records/AVE-2026-000) | 隐藏指令隐瞒5.6 | 中等 |
| [AVE-2026-00011](records/AVE-2026-.json) | 具有攻击者参数的调用 | 5.7 | 中等 |
| [AVE-2026-000records/AVE-2026-00012 | 通过权限授予的特权提升4.5 | 中等 |
| [AVE-2026-00013](records/AVE-2026-00013.json) | P模式 | 6.5 | 中等 |
| [AVE-2026-00014](records/AVE-2026-00014.json) | 通过信任升级的社会工程 | 3.7 | 低 |
| [AVE-2026-00015](AVE-2026-00015.json) | 系统提示披露 | 4.9 | 中等 |
| [AVE-2026-00016](records/AVE-2026-00016.json) | 通过RAG检索的间接提示注入 | 6.4 | 中等 |
| [AVE-2026-00017](records/AVE-2026-00017.json) | MCP服务器冒充 | 5.7 | 中等 |
| [AVE-2026-](records/AVE-20200018.json) | 操作 | 4.4 | 中等 |
| [AVE-202619](records/AVE-2026-00019.json) | 代理内存中毒 | 5.6 | 中等 |
| [AVE-2026-](records/AVE-2026-00020.json) | 通过A2的跨代理注入 | 5.9 | 中等 |
| [AVE6-00021](records/AVE-2026-00021.json)在环中的绕过 | 4.5 | 中等 |
| [AVE-2026-00022](records/AVE-2026-00022.json) | 通过未声明的资源访问的范围扩展 | 6.0 | 中等 |
| [AVE-2026-00023](records/AVE-2026-00023.json)下文窗口操作 | 5.8 | 中等 |
|-2026-00024](records/AVE-2026-.json) | 供应链：伪装成技能的二进制内容 | 6.8 | 中等 |
| [AVE-2026-00025](records/AVE-2026-00025.json) | 会注入 | 4.5等 |
| [AVE-2026-00026](records/AVE-2026-00026.json) | 通过编码输出数据泄露 | 6.8 | 中等 |
| [AVE6-00027](records/AVE-2026-00027.json 多轮持久性攻击 | 6 | 中等 |
| [2026-00028](records/AVE-2026-00028.json 文件内容注入 | 5.9 | 中等 |
| [AVE6-00029](records/AVE-2026-00029.json) | 同形和Unicode混淆 | 4.8 | 中等 |
| [AVE-2026-00030](records/AVE-2026-00030.json) | 虚假角色声明 | 4.3 | 中等 |
|-2026-00031](records/AVE-2026-00031.json) | 反馈环中毒 | 5.4 | 中等 |
|-2026-00032](records/AVE-2026-000) | 内部网络侦察 | 4.0 | 中等 |
AVE-2026-00033](records/AVE-2026-00033.json) | 技能上下文中的不序列化 | 4.2 | 中等 |
| [AVE-2026-00034](records/AVE6-00034.json) | 运行时动态技能导入 | 6.6 | 中等 |
| [AVE-2026-00035](records/AVE-2026-00035.json) | 传感器和环境操作 | 4.2 | 中等 |
| [AVE-2026-00036](records/AVE-2026-00036.json) | 通过代理枢纽的横向移动 | 5.9 | 中等 |
| [AVE-2026-00037](records/AVE-2026-00037.json) | 视觉和多模态注入 | 5.1 | 中等 |
| [AVE-2026-00038](records/AVE-2026-00038.json) | 无边界工具使用 | 5.9 | 中等 |
|-2026-00039](records/AVE-2026-00039.json) | 通过隐写通道的数据泄露 | 4. 中等 |
| [AVE-2026-00040](records/AVE-2026-00040.json) | 不安全输出处理 | 5. 中等 |
| [AVE-2026-00041](records/2026-00041.json) | MCP服务器卡注入 | 2 | 高 |
| [AVE-2026-00042](records-2026-00042.json) | REPL代码模式凭证暴露 | 4.7 | 中等 |
|-2026-00043/AVE-2026-00043.json) | MCP应用UI注入 |.7 | 中等 |
| [AVE-2026-000records/AVE-2026-00044.json) | 异步任务 | 6.1 | |
| [AVE-2026records/AVE-2026-00045.json) | 跨应用访问升级 | 6.4 | 中等 |
| [AVE6-00046](records/AVE-2026-00046.json) | MCP工具钩子劫持 | **关键** [AVE-2026-00047](records/AVE-2026-00047.json) | 代理组件中的硬编码凭证 | 7.6 | 高 |
| [AVE6-00048](records/2026-00048.json) | 不安全的代理委派链 |.7 | 高 |
| [AVE-2026-00049/AVE-2026-00049.json) | HTTP主机头注入） | 7.2 | 高 |
| [AVE-00050](records/AVE6-00050.json)寄生工具链 - 沉默 | 7.2 || [AVE-2026-00051](records/AVE--00051.json) |重新绑定 | 7.2 |
| [AVE-2026-00052](records/AVE6-00052.json) | MCP工具实现命令注入 | 7.5 | 高 |
| [AVE-2026-00053](records/AVE-2026-00053.json) | MCP资源路径遍历 | 3 | 中等 |
|-2026-00054/AVE-2026-00054.json) | 代码执行沙 | 6.7 | 中等 |
| [AVE-2026-00055](records/AVE-2026-00055.json) | MCP STDIO启动配置注入 | 7.7 | 高 |
| [AVE-2026-00056](records/AVE-2026-00056.json) | 通过渲染内容自动获取的零点击数据泄露 | 5.8 | 中等 |
---
## 使用Bawbel扫描器进行检测
每个都在 [bawbel/scanner](https://github.com/b/scanner) 中具有检测规则，这是本标准的参考实现。
```pip install bawbel-scanner 扫描技能文件
bawbel scan ./my-skill.md
#扫描目录
bawbel scan ./skills/ --recursive --fail-on-severity high
# 扫描MCP服务器卡
bawbel scan-server://api.your-mcp
# 完整修复报告
bawbel report ./my-skill.md
```
示例输出：
```
严重 bawbel-hook-hijack AVE-2026-00046 第3行 AIVSS 9.2
高 bawbel-unsafe-delegation AVE-2026-00048 第11行 AIVSS 7.7
高 bawbel-hardcoded-credential AVE-2026-00047 第5行 AIVSS 7.6
```
任何工具都可以实现AVE — 记录、架构和规则都是开放的。请参阅 [architecture guide](https://ave.bawbel.io/architecture 和 [implementer guide](docs/specs/ave-implementer-guide.md) 以获取完整的消费模式，包括空气隔离环境。
---
## 在您的扫描器中实施AVE
取决于您的环境，有三种模式：
**模式1 — 运行时API** （云CI/CD，始终在线互联网）
```python
import httpx
resp = httpx.get("https://api.piranha.bawbel.io/ave/AVE-2026-00002")
record = resp.json() # 完整记录：指纹，IOCs，修复，框架
```
**模式2 — 捆绑离线** （空气隔离，受监管环境）
```bash
# 在构建时下载完整记录集并与扫描器捆绑
curl -L https://github.com/bawbel/ave/releases/download/v1.1/ave-records-v1.1.0.json \
-o ave-records.json
```
**模式3 — 仅ID发出** （SIEM在下游解决，扫描器不进行网络调用）
```json
{ "rule_id": "your-rule", "ave_id": "2026-00002", "severity": "HIGH" }
```
最小可行的集成是添加一个字段 — `ave_id` — 到您现有的发现结果输出中。请参阅 [docs/specs/ave-implementer-guide.md](docs/specs/ave-implementer-guide.md) 以获取完整的指南，包括决策表，代码示例以及如何请求扫描器ID的交叉映射## 架构 v1.1.0
记录根据 [`schema/ave-record-1.1.0.schemaschema/ave-record-1.1.0.schema.json验证。
规范 `$id`：
`https://ave.bawbel.io/schema/ave-record-1.1.0.schema.json`
**15个必填字段：**
```
ave_id · schema_version · status · published
title · description · attack_class · severity · behavioral_fingerprint
aivss · owasp_mcp
indicators_of_compromise · remediation
references · researcher
```
**最小有效记录```json
{
"ave_id": "AVE--00001",
"": "1.1.0",
"status": " "published": "20204-01T09:00Z",
"title": "通过外部配置获取的变形有效载荷",
"attack_class": "Supply Chain - Metamorphic Payload",
"severity": "HIGH "description": "技能在运行时从外部URL获取其指令...",
"behavioral_fingerprint": "组件在运行时获取并执行远程内容，替换其自身的指令。",
"aivss": {
"cvss_base": 8.5, "aars": 7.5, "thm": 1.0,
"mitigation_factor": 1.0, "aivss_score": 8.0, "spec_version0.8"
},
"owasp_mcp": ["MCP04", "MCP06"],
"indicatorsromise": ["fetch() 指向外部URL"],
"remediation": "删除组件。阻止网络出口。审计代理操作。",
" [{"tag": "披露", "text": "来源", " "https://..."}],
researcher": "B安全"
}
```
**所有可选字段：**
`component · `last_updated` · `behavioral_vector` · `example_patterns` ·
`aivss_score` · `cvss_base_vector` · `owasp_asi` · `mitre_atlas` ·
`nist_ai_rmf` · `provenance_vector` · `trifecta_profile` · `mitigation` ·
`affected_platforms` · `affected_registries` ·
`mutation_count` · `detection_methodology` · `kill_switch_active` ·
`research · `aivss.aarf` · `aivss.aivss_severity` ·
ivss.notes` ·_kind_default` ·
`detection_stage` · `detection · `confidence_baseline`evidence_basis_engines`derivable_into`
`status: "draft"` 记录只需要一个精简的八字段核心 (`ave_id`,
`schema_version`, ` `title`, `description`, `attack_class`,
`behavioral_fingerprint`, `references`) — 完整的15字段必填集
在 `status` 为 `active` 或 `deprecated` 时适用。参见CONTRIBUTING.md](ING.md) 获取薄提交完整架构参考： [ave.bawbel.io/schema.html](ave.bawbel.io)
---
## 添加新的AVE### 何时添加记录
新记录需要三个条件：不能已经被现有的记录所覆盖，有一个可引用的主要CVE，论文，公开事件或工作PoC），并且该于智能代理组件 — 而不是通用Web或API漏洞。
如果您认为现有类别涵盖了您发现的行为，请开一个问题。但是，它可能需要在父记录中添加一个子案例注释，而不是一个新的ID。
### 步骤 1 — 创建问题
在编写任何 JSON 之前，创建一个新的 **AVE 记录** 问题。请包含：
- 提议的 `攻击类别` 和一句话的 `行为指纹`
- 主要来源的链接
- 这是全新记录还是现有记录的变体
维护者将确认下一个 AVE ID 以及它是新类别还是现有类别的更新。
### 步骤 2 — 编写记录
将 [`records/AVE-2026-00001.json`](records/AVE-2026-00001.json) 复制为模板。所有 15 个必填字段必须存在且有效。
AIVSS 计算：
```
1. 为每个 AARF 因素评分 0.0-1.0
2. AARS = 所有 10 个 AARF 评分之和
3. AIVSS = ((CVSS_Base + AARS) / 2) x ThM x 缓解因子
4. ThM：0.75 理论 · 0.90 存在 PoC · 1.0 实际发生
5. 四舍五入到 1 位小数
6. 严重程度：关键 >= 9.0 · 高 >= 7.0 · 中 >= 4.0 · 低 < 4.0
```
在开启拉取请求（PR）之前进行验证：
```bash
npm install ajv ajv-formats
node -e "
const Ajv = require('ajv/dist/2020');
const addFormats = require('ajv-formats');
const ajv = new Ajv({ strict: false });
addFormats(ajv);
const schema = require('./schema/ave-record-1.1.0.schema.json');
const record = require('./records/AVE-2026-NNNNN.json');
const ok = ajv.validate(schema, record);
if (!ok) console.error(ajv.errors); else console.log('valid');
"
```
### 步骤 3 — 添加检测规则
在 [bawbel/scanner](https://github.com/bawbel/scanner) 中开启一个协调的 PR，至少包含一个检测规则和一个正例和负例。
AVE 记录的 PR 和扫描器的 PR 应相互引用。
### 步骤 4 — PR 格式
标题：`feat: AVE-2026-NNNNN -- <攻击类别>`
PR 描述必须包含：
- 问题链接
- 每个非零因素的一行理由和 AARF 评分
- 至少一个防御者可以实际搜索的 `入侵指标` 条目
- 主要来源的链接
- 协调的扫描器 PR 的链接
---
## 框架映射
AVE 记录映射到四个外部框架。完整的映射表格位于 [ave.bawbel.io/crosswalks.html](https://ave.bawbel.io/crosswalks.html)。
| 框架 | 字段 | 映射 |
|---|---|---|
| OWASP 代理安全倡议 Top 10 | `owasp_asi` (ASI01-ASI10) | 模式字段，所有适用记录 |
| [OWASP 代理技能 Top 10 (AST10)](https://owasp.org/www-project-agentic-skills-top-10/) | 暂无专用模式字段（计划使用 `owasp_ast`） | [`crosswalks/ave-to-ast10.json`](crosswalks/ave-to-ast10.json) |
| OWASP MCP Top 10 | `owasp_mcp` | 所有记录 |
| MITRE ATLAS | `mitre_atlas` | 适用时 |
| NIST AI RMF | `nist_ai_rmf` | 适用时 |
| 扫描器 | 映射到 AVE 通过 |
|---|---|
| SkillSpector (NVIDIA) | [`crosswalks/skillspector-to-ave.json`](crosswalks/skillspector-to-ave.json) |
| ClawScan (OpenClaw) | [`crosswalks/clawscan-to-ave.json`](crosswalks/clawscan-to-ave.json) |
维护扫描器？[实施者指南](docs/specs/ave-implementer-guide.md) 涵盖了如何将规则 ID 映射到 AVE ID 以及在发现输出中添加 AVE ID 排放。你也可以开启一个问题，维护者将帮助完成映射。
---
## 治理和贡献
参见 [GOVERNANCE.md](GOVERNANCE.md) 了解决策过程、记录如何提出和审查，以及实现中立治理的路径。
参见 [CONTRIBUTING.md](CONTRIBUTING.md) 了解贡献者流程。
参见 [CODE_OF_CONDUCT.md](CODE_OF_CONDUCT.md) 了解社区标准。
---
## 相关
| | |
|---|---|
| [ave.bawbel.io](https://ave.bawbel.io) | 公共注册表和文档 |
| [bawbel/scanner](https://github.com/bawbel/scanner) | 参考实现 |
| [bawbel/ave-site](https://github.com/bawbel/ave-site) | 网站源码 |
| [api.piranha.bawbel.io](https://api.piranha.bawbel.io) | 威胁情报 API |
| [OWASP AIVSS v0.8](https://aivss.owasp.org) | 评分规范 |
| [MITRE ATLAS](https://atlas.mitre.org) | AI 威胁技术目录 |
| [OWASP MCP Top 10](https://owasp.org) | MCP 攻击面框架 |
---
AVE 记录和模式在 [Apache 2.0](LICENSE) 下发布。
连接信息
猜你喜欢
暂无推荐服务器