黑客开始给 AI 编程代理下套了

同一周里，AI 安全领域发生了两件看似不相关、实则指向同一件事的事：安全厂商 Adversa AI 披露了针对 GitHub Copilot CLI 的「加密上下文注入」攻击，攻击者可以让这个编程代理主动解密并执行恶意指令，泄露开发者密钥；几乎同一时间窗口，Anthropic 宣布扩展其 Cyber Verification Program（CVP），把 Claude 更完整的网络攻防能力，向经过验证的红队开放，限制更少。

一边是代理被攻击者「驯服」，一边是代理被官方「放权」。这两件事放在一起看，答案其实只有一个：AI 编程代理已经站在了攻防对抗的最前线，而整个产业的防御体系还没跟上。

这篇文章，我们拆开这两条线索，看看 AI 代理时代的安全边界，到底被挪到了哪里。

🔐 加密提示注入，骗过的不是人而是代理

这是教科书级别的新型攻击：恶意指令被藏进了加密内容里。

Adversa AI 的研究人员披露的这套技术，被命名为 Cryptographic Context Injection（CCI，加密上下文注入）。攻击链条并不复杂：攻击者搭建一个自己控制的网页，页面里埋着一段加密的恶意指令；当开发者的 GitHub Copilot CLI 在工作中读取到这些内容时，代理会尝试解密并理解这些文本——而解密后的内容，正是一段诱导其执行危险操作的提示词。

传统提示注入的尴尬之处在于，恶意指令往往以明文形式存在，安全产品和人类审阅者都有机会在内容进入模型上下文之前发现异常。而 CCI 的精妙之处在于加密这一层：密文对人是乱码，对拥有解密能力的代理却是待执行的说明书。 安全审查看到的是「一段无害的加密数据」，模型读到的却是一条完整指令。

值得注意的是攻击目标的选择。GitHub Copilot CLI 是一个运行在开发者本机环境里的代理工具，它能读代码、能执行命令、能访问环境变量。也就是说，一个被诱导的 CLI 代理，等于是把开发者本地最有价值的资产——API 密钥、令牌、凭证——直接递到了攻击者面前。

攻击成本的变化同样惊人。以前的供应链攻击要投毒一个依赖包，还要赌它进入足够多的构建流程；现在只要让代理「帮忙」读一个网页就够了——攻击成本被模型的理解能力抹平了。

🕳️ 代理时代，网页就是新的攻击载荷

每次计算范式的迁移，都会重新定义「不可信输入」的边界。

回顾一下历史：浏览器时代，不可信输入是网页脚本，于是有了同源策略和 XSS 防御体系；云时代，不可信输入扩展到了 API 请求和第三方依赖，于是有了 WAF 和软件物料清单；而 AI 代理时代，不可信输入第一次变成了「自然语言本身」——任何代理会读取、会理解、会据此行动的内容，都成了潜在攻击载荷。

Adversa AI 披露的 CCI 攻击，本质上是把经典的间接提示注入（indirect prompt injection）往前推了一步。过去的间接注入，恶意指令至少还是明文，靠的是模型「分不清指令和数据」；CCI 则利用了代理的主动能力——为了完成任务，代理会自己动手解密，等于攻击者借模型之手绕过了内容审查。 这意味着传统的基于内容扫描的防御思路，在加密面前基本失效。

这也解释了为什么编程代理成为重灾区。写一份对比会更清楚：

产业逻辑在这里发生了一个根本转变：安全责任从「用户别乱点」转移到了「代理别乱做」。 开发者没有点击任何可疑链接、没有执行任何可疑脚本，他只是正常使用编程工具，而代理替他「自愿」完成了整个攻击链。这就是安全圈常说的「confused deputy」（被利用的忠诚副手）问题在 AI 时代的放大版——而且这个副手手握密钥、能跑命令、还特别听话。

对厂商来说，教训同样清晰。Adversa AI 在披露中给出的缓解方向也是围绕这一点展开的：给代理越多工具和自主权，就需要越严格的上下文来源标注（区分「用户指令」与「外部网页内容」）、对解密类操作设置人工确认门槛、以及对文件读写和密钥访问实施最小权限。提示词层面的修补是打补丁，权限层面的最小化才是修地基。

🛡️ Anthropic 的另一面：把进攻能力分级开放

当防御端还在堵漏时，供给端已经开始「有序放权」。

2025 年 10 月 6 日，Anthropic 宣布扩展 Cyber Verification Program（CVP）：经过审核验证的安全专业人员，可以在更少的网络安全限制下使用 Claude 的高级能力。这套体系整合了原有的验证计划与 Project Glasswing，形成三个清晰的访问层级。

三个层级的划分逻辑值得细看，它实际上对应了安全行业的工作光谱：

这个动作的产业含义，比表面看起来更重。长期以来，前沿模型厂商对网络安全相关请求采取「一刀切」式的保守拒绝，结果是真正的防御者和授权红队被限制手脚，而决心作恶的人转头就能找到更宽松的开源替代。守规矩的人拿不到工具，不守规矩的人不受规矩约束——这是厂商们终于开始正视的悖论。

Anthropic 的解法是「验证换自由」：不降低能力，而是先验证身份与用途，再按风险分级放开限制。这本质上是在模仿安全行业已经成熟的漏洞披露与授权测试制度——攻击能力本身不是问题，没有问责机制的攻击能力才是问题。

值得注意的是，几大前沿实验室在网络安全能力开放节奏上的分化正在加大：OpenAI 在 2025 年通过 Cyber Safety Evaluations 逐步公开红队测评结果，Google DeepMind 则在其安全框架中把网络能力列为需要单独评估的类别。有的选择持续收紧，有的选择验证后放开——这个分歧，会在未来一两年的攻防效率差距中体现出来。

⚖️ 一攻一放之间，产业分水岭已经出现

攻击技术的进化速度，正在倒逼整个 AI 安全产业链重组。

把两条线索合起来看：Adversa AI 的 CCI 攻击证明，代理的「理解与执行」能力可以被攻击者反向利用；Anthropic 的 CVP 则承认，同样的能力在验证机制下可以被防御者正当使用。同一枚硬币的两面，指向的是同一个产业命题——AI 安全能力的供给，必须走「可控分发」的路线。

由此可以推演出几个正在成型的产业趋势：

第一，代理安全将成为独立赛道。 提示注入防护、上下文来源标注、代理权限管理、敏感操作审计——这些需求目前散落在各家产品里，但很快会长成独立的安全品类。就像容器普及催生了云原生安全，代理普及必然催生「代理安全」。

第二，验证与凭证体系成为新基础设施。 Anthropic 用 CVP 验证安全从业者，本质上是在建「谁有权使用进攻性 AI 能力」的账本。可以预期，类似的验证机制会从模型厂商扩散到安全工具链的各个层面，成为攻防双方共享的信任底座。

第三，开发者环境成为高危资产。 编程代理运行在离密钥最近的地方，这决定了它会是攻击者的首选目标。企业安全团队需要像对待特权账号一样对待代理工具：最小权限、操作留痕、敏感动作二次确认。

需要保持冷静的是：CCI 这类攻击目前仍依赖特定条件——代理需要主动读取攻击者内容并具备解密执行能力。它不是「所有 AI 工具都已沦陷」的信号，而是一个明确的预警：代理的自主权越大，攻击面就越大，而大多数产品还没有为此设计。

小结

AI 编程代理正在同时成为攻击者眼中的「内应」和防御者手中的「利器」，这不再是两种可能性，而是同一周内同时发生的事实。GitHub Copilot CLI 的加密上下文注入攻击，暴露的是代理权限设计的结构性短板；Anthropic 的 CVP 分级开放，回答的则是能力如何可控分发。

两条线索合起来，给出的是同一份行动清单。对开发者：检查你正在使用的编程代理能否访问密钥、能否执行任意命令、能否读取任意网页——如果三个答案都是「能」，就当它在替一个陌生人工作。对企业：把代理工具纳入特权访问管理，落实上下文来源标注与敏感操作确认，而不是依赖内容扫描这种在加密面前已经失效的手段。对厂商：能力开放的出路不是回退到一刀切拒绝，而是把 CVP 式的「验证换自由」制度化，让进攻能力在问责机制下流动。

接下来一年，值得盯紧三个信号：代理安全产品的成规模落地、验证体系的跨厂商互通、以及编程代理在企业环境中的权限模型重构。代理安全的补课，越早开始，代价越小。