AI安全遮羞布，被873个漏洞掀了

一个预览窗口，一次点击都不需要，开发者机器上的SSH私钥、AWS凭证、OAuth令牌就能被悄悄搬空。另一边，CNCERT对54款大模型做了一次体检，测出873个漏洞，其中30.4%居然还是传统安全漏洞。

两件事看似不相关，其实说的是同一句话：AI安全的第一课，仍然是那些我们以为早就学会的老课。 本文不贩卖焦虑，只拆机理、看格局、给判断。

🕳️ SneakPeek：安静得可怕的零点击

最危险的漏洞，往往连一声提示音都没有。

安全研究人员给Anthropic桌面端编程工具里的这个漏洞起了个名字——SneakPeek。问题出在Claude Code Desktop的预览面板：当开发者在IDE里浏览代码仓库、查看文件预览时，恶意构造的内容可以在预览渲染环节被触发，整个过程零点击——开发者不需要点链接、不需要运行脚本、甚至不需要意识到 anything happened。

想象一个再日常不过的场景：你在GitHub上看到一个有意思的开源项目，克隆下来，在Claude Code Desktop里顺手预览了一下README和示例文件。几秒钟后，你的~/.ssh目录下的私钥、本机的AWS访问凭证、连同你登录Claude用的OAuth令牌，已经被打包送到了攻击者的服务器。你的SSH私钥意味着什么？意味着你所有服务器的 root 权限。你的AWS凭证意味着什么？意味着你的云账单和你的数据，从这一刻起有了第二个主人。

这就是SneakPeek的可怕之处——它攻击的不是模型，不是推理过程，而是AI开发工作流里最富有的那座金矿：开发者终端。

整条攻击链可以拆成五步：

值得强调的是，这不是模型被"越狱"了，也不是提示注入的经典剧本。预览面板是一个传统意义上的客户端渲染组件，它的问题本质上和浏览器漏洞、PDF阅读器漏洞是同一族——解析不可信内容时缺乏隔离。变的只是承载它的壳：以前是浏览器，现在换成了AI编程助手。

据多位安全圈人士的私下观察，Agent类工具正在成为终端安全的重灾区，原因很简单：为了好用，这些工具必须拿到高权限——读文件、执行命令、访问网络、持有长期凭证。权限越大，单点失陷的代价越高。AI编程工具把开发者的全部数字身份集中到了一个进程里，这是过去任何一款IDE都没有做到过的"集中化"。

📊 873个漏洞：三成还是老毛病

AI安全的考卷上，最先答错的还是传统题。

如果把视角从单点漏洞拉高到行业体检，CNCERT这次通报的数据更值得细看：54款大模型，测出873个漏洞，其中30.4%属于传统安全漏洞。

这意味着什么？意味着在最前沿的AI产品里，接近三分之一的漏洞，和五年前、十年前Web应用里的问题是同一类——注入、越权、信息泄露、不安全的配置。模型再新，承载它的工程底座还是老三样：Web服务、API网关、文件系统、数据库。地基没换，地基上的钉子自然也还是那些钉子。

当然，另外接近七成是AI相关或其他类型的问题，这部分同样不容忽视——模型层的越狱、数据泄露、输出不可控等问题是真实存在的增量。但关键判断在于：30.4%这个数字说明，行业连存量问题都没有清干净，就急着讨论增量问题了。

业内流传的一句老话放在这里正合适：安全的债，不会因为换了技术栈就一笔勾销。大模型公司大多由算法团队主导工程，安全团队往往后置，最典型的后果就是——模型能力迭代以周为单位，而基础的安全加固还在以季度为单位推进。这个时间差的每一厘米，都是攻击者的窗口期。

把两层问题放在一张表里看，会更清楚：

🧩 AI安全不是另起炉灶

把AI安全当成一个全新赛道来创业的人，可能低估了地心引力。

SneakPeek这个案例最有教育意义的地方，恰恰是它的"不新鲜"：预览面板渲染漏洞，是客户端安全领域的经典课题，教科书里写了二十年。它之所以在今天变得致命，不是因为漏洞本身进化了，而是因为AI工作流把凭证集中到了攻击者的射程之内。

换句话说，AI安全 = 传统安全的基本功 × AI时代的新变量。两个因子，缺一个都不成立。基本功不行，新变量是放大器；基本功扎实，新变量才是可控的风险。

对应到防御侧，三条主线其实都很朴素：

注意第三条：对大多数企业来说，AI安全建设的第一优先级不是买AI安全产品，而是把传统的SDL、渗透测试、配置基线覆盖到AI应用上。模型测评很重要，但如果一个RAG应用连基本的SQL注入防护都没有，测评做得再漂亮也是空中楼阁。

这也回答了一个网络安全教育领域的老问题——AI时代，网安专业学生该学什么？答案不是抛弃Web安全去学对抗样本，而是：先把传统漏洞机理吃透，再叠加对AI系统的架构理解。越懂SSRF的人，越能看懂Agent的工具调用链哪里会被劫持；越懂凭证管理的人，越明白MCP生态里权限边界的脆弱。

🏭 谁来买单：AI安全的三层市场

每一次安全事件，最终都会沉淀为一张预算表。AI安全也一样。

当下的AI安全供给端，产品形态大致可以分为几类，各自的技术门槛和商业价值差异很大。用一个四象限来看更直观：

几个判断：

第一，买单方首先是平台方，其次才是企业。 SneakPeek这类漏洞的修复责任在Anthropic这样的工具厂商手里，模型漏洞的修复责任在模型厂商手里。随着各国AI治理规则逐步落地，平台责任会从"尽力而为"变成"法定义务"，这将倒逼模型厂商和Agent工具厂商把安全预算从可选变成必选——这是AI安全市场里确定性最高的一块需求。

第二，Agent安全是增量中弹性最大的部分。 传统WAF的AI改造版门槛低、竞争激烈；而Agent安全网关、凭证防护、工具调用审计这类产品，需要深度理解Agent架构，技术门槛高，且踩中了一个正在爆发的真需求：企业敢不敢让Agent拿着生产凭证自主执行？在敢与不敢之间，就是一个市场。

第三，传统安全能力不会被淘汰，只会被重新定价。 30.4%这个比例本身就是最好的广告——它告诉所有CTO：你现有的安全团队和存量工具，在AI时代依然是第一道防线，需要的不是推倒重来，而是把覆盖范围扩展到模型应用和Agent工作流上。这对传统安全厂商是好消息，对纯AI安全叙事的创业公司反而是坏消息。

一句话总结产业逻辑：AI安全不是一片新大陆，而是旧大陆上长出来的新城——城墙还是要修，只是城门变多了。

小结

SneakPeek和873个漏洞，一个是从终端撕开的口子，一个是从行业体检报告上撕开的口子，撕开的是同一块遮羞布：在AI狂飙的两年里，安全的工程基本功被远远甩在了后面。

对从业者的建议只有三条：把不可信内容的解析隔离当默认选项、把凭证管理当核心资产来治理、把传统漏洞机理当AI时代的必修课而非选修课。对行业的预判是：未来一年，Agent安全与凭证安全将成为AI安全预算增长最快的两个方向，而"另起炉灶"式的纯AI安全叙事会逐渐让位于"纵深防御+AI扩展"的务实路线。

潮水退得很快，裤衩得自己穿好。