AI Security Consortium 发布 AI Goat 2.0，将这个故意保留漏洞的 AI 安全练习环境从 17 个实验扩展到 46 个。新版分别覆盖 OWASP LLM、Agentic 和 MCP 三套风险框架，新增的重点包括工具调用、Agent 记忆、MCP 客户端与主机，以及完整的攻击链演练。
新版商店 Agent 会制定计划、调用工具并回答问题，每次工具调用经过 Intent Gate 检查参数并应用当前防御配置。退款、客户数据导出等敏感动作可以停在人工批准处。实验评分看 Agent 实际发出的工具调用；一段看似谨慎的回答，并不能抵消已经执行的错误动作。
MCP 实验使用官方 Python SDK，通过 stdio 连接四个本地服务，覆盖官方目录、社区支持、不可信仿冒和内部管理场景。记忆实验则展示恶意笔记如何影响后续任务。整个平台提供 Vulnerable、Defended、Guardrailed 三档模式，由 19 个可组合控制构成防御，还增加了威胁建模工作台；运行方式包括本地、Docker 和 Google Colab。