网络安全观察日报｜AI补丁欠账

一、开篇暴击：今日最荒诞的一幕

全行业天天喊着 AI 要接管世界，结果 AI 数据管道上一个 Critical 级 RCE，LMCache 摆在那儿没人修——而且公开 PoC 已经躺在网上，谁想打谁打。

这不叫漏洞，这叫开门营业。

一边是 Anthropic 发布 Cyber Mission 要用 Claude 保护关键基础设施和开源软件，一边是 AI 推理基础设施的缓存组件被人指名道姓地演示怎么远程执行代码。保护全人类的宏大叙事，先把自己家水管修好吧。

今天的调子就是这句话：AI 军备竞赛建得越快，地基漏水漏得越欢，而修地基的人永远排在发布会之后。

二、最被高估的事

Anthropic 的 Cyber Mission，本日营销冠军。

通稿写得很美：用 Claude 保护关键基础设施、守护开源软件生态。翻译一下：一家 AI 公司宣布要用自家 AI 解决 AI 时代的安全问题，顺便把安全行业该干的活揽进自家 KPI。

好，那我们看看今天它要保护的这个世界长什么样：

• Warden Stealer 正在精准猎杀 Claude、Codex、Grok 和 Cursor 的用户，偷的就是 AI Agent 的会话数据。AI Agent 的凭据在攻击者眼里，已经是明码标价的商品；
• AgentCorruption 一条 prompt 就能把 AWS 环境拖下水，AI 代理权限失控从理论变成了 PoC；
• Cisco Talos 的警告更直白：AI Agent 集群能把过去几个月的攻击周期压缩到几小时。

请问 Cyber Mission 保护的是哪一部分？保护 Claude 用户不被 Warden 偷吗？

不是 Anthropic 不该做安全，而是这种发布会的正确打开方式应该倒过来：先证明自己生态里的数据不被偷、自己的代理权限不失控、自己的开源依赖不被投毒，再谈拯救世界。现在这顺序，像消防队先剪彩再学接水管。

厂商拿 AI 解决安全是生意，安全行业拿 AI 解决问题是本职，但两者叠加出来的结果是：叙事跑得比能力快了整整一个版本号。

三、最被忽视的事

Sungrow 阳光电源的身份认证绕过漏洞，Critical 级，攻击者可以直接接管光伏电站——今天的新闻里，它安静得像不存在。

大家在热烈讨论 AI 偷 AI、npm 又投毒了、FBI 又抓人了，可全欧洲的屋顶光伏和储能系统，正挂在一个可以被绕过的认证机制上。

想想威胁模型：数以万计的逆变器、电站控制器，联网、标准化、厂商统一固件。拿下认证，攻击者调的不是一户人家的电表，是一片电网的出力曲线。勒索一城电费，或者在某些敏感时刻同步让一批电站 抽风——这不比偷加密货币钱包刺激多了？

现实很讽刺：黑客攻击电厂的剧本，好莱坞都拍烂了；但真实世界里，一个可以让攻击者 控制太阳能电站 的认证绕过，讨论热度还不如十六个偷种子的 Firefox 恶意扩展。

关键基础设施安全的最大敌人不是攻击者，是 谈资排序。 偷币新鲜，电厂枯燥，于是最重要的漏洞拿到了最少的注意力。等哪天某个国家的电网 出问题，分析师会在复盘报告里发现：这洞早就公开了，没人重视。

四、最值得警惕的事

Shai-Hulud 回来了，而且带着新打法。

Tensorlake 官方包被劫持，用来分发 Shai-Hulud 供应链恶意软件——注意，这次不是仿冒包，是真实项目的包被插了刀。与此同时，疑似 TraderTraitor（朝鲜背景）把 Terraform Provider 做成了木马，投毒直接伸到了 基础设施即代码 这一层。

把这两件事连起来看，图景很冷：攻击者的供应链渗透已经从 代码层 打到 配置层。 你的应用依赖被投毒是老故事，你定义云基础设施的 Terraform 代码本身是木马，这是新章节——CI/CD 会欢天喜地把后门部署进生产环境，还给你盖个绿勾。

再叠加 Warden Stealer 专偷 AI Agent 数据，今天的攻击链条已经完整了：

1. 供应链投毒进你的构建管线（Shai-Hulud / Terraform）；

2. 偷走开发者和 AI Agent 的凭据（Warden）；

3. 用偷来的身份横移进云环境（AgentCorruption 级别的操作）。

而企业的防御节奏是什么？各家还在发 2026 供应链安全工具横评，Insignary 推出 Clarity AIR 检测未申报的开源和 AI 生成代码——工具在进化，但大多数企业连 自己跑了多少来路不明的包 都没盘点过。供应链攻击不怕你有工具，怕你连敌人是谁都没登记。

五、数据说话

把今天的素材画成一张图，你会发现它们根本不是 孤立新闻，而是同一条流水线的三道工序：供应链是入口，AI Agent 凭据是燃料，云环境和关键基础设施是终点。 最要命的是左下角——LMCache 的洞没修、Sungrow 的门没锁，等于终点站的大门本身就开着。Citrix NetScaler 那个 CVSS 9.5 的 RCE 也是老配方新登场。攻击者不需要发明新武器，只需要企业继续抱着 耽误不起、先上线再说 的旧账本。补丁欠账，是今天所有故事里唯一会连本带利的那一笔。

今日观察员批注：FBI 这周很忙——警告中国黑客用自动化工具偷数据、收拾 ShinyHunters、还顺手抓了个勒索谈判公司的创始人。当 帮你谈判的人 自己成嫌疑人，这个行业的灰色地带，比你想的更有生意。