预览一眼，SSH 私钥就没了

开发者每天在预览窗里扫一眼文件，从来没有想过，"看一眼"本身也可以是攻击面。

Anthropic 的 Claude Code Desktop 被安全研究人员曝出一个代号为 "SneakPeek" 的漏洞：攻击者可以通过其预览窗格发起零点击攻击，在开发者毫无感知的情况下，悄悄偷走 SSH 私钥、AWS 凭证，甚至 Claude 自己的 OAuth 令牌。这不是一次花哨的漏洞展示，而是一记敲在 AI 编程工具整个品类脑门上的警钟——当 AI 工具拿到了你终端里的所有钥匙，它也就成了攻击者最想攻破的那扇门。

🔍 一眼预览，凭什么静默偷走私钥

最危险的漏洞，往往长得最不像漏洞。

先看场景。一位开发者收到一个看起来正常的项目文件，习惯性地在 Claude Code Desktop 的预览窗格里点开看了看，没有运行任何脚本，没有点击任何链接，然后继续写代码。几分钟或几天后，服务器被陌生 IP 登录，云账单出现异常——溯源时才发现，起点就是那次"只是看了一眼"的预览。

按照公开披露的信息，SneakPeek 的问题出在预览窗格本身：预览过程可以被攻击者利用，在用户零交互的前提下触发凭证窃取逻辑。被窃取的目标非常有针对性——

• SSH 私钥：开发者登录服务器、代码仓库的钥匙，一旦外泄，攻击者可以直接以开发者身份横向渗透；
• AWS 凭证：通往云上资源的门票，数据库、对象存储、计算资源都可能被直接接管；
• Claude OAuth 令牌：AI 工具自身的身份凭证，攻击者可以冒用开发者账户，甚至借 AI 会话继续收集更多信息。

"零点击"这三个字在漏洞圈里的分量，一线安全研究员都清楚。大多数攻击还需要钓鱼诱导、社会工程，而零点击意味着受害者连"犯错"的机会都没有——攻击的完成不依赖用户的任何失误，只依赖产品本身的设计缺陷。

从产业逻辑看，这个漏洞的杀伤力不在于技术多新颖，而在于位置极其刁钻。预览窗格是开发者使用频率最高的交互之一，"默认可信"是所有文件管理类界面的行业惯性。AI 编程工具把这个惯性继承了下来，却没有意识到自己已经不再是普通的文本查看器——它是握着全盘钥匙的代理进程。多位一线应急响应人员在私下交流时的共识是：开发终端本来就是我们接到的入侵事件里最薄弱的一环，AI 工具只是把这个问题放大了十倍。

🧲 AI 编程工具为何成了凭证集散地

工具越能干，它手里的钥匙就越多。

要理解 SneakPeek 为什么值得全行业紧张，得先看清 AI 编程工具在开发者终端上到底"拿走了什么"。

传统 IDE 只是一个编辑器，它读写文件、跑构建，权限边界相对清晰。而 Claude Code 这类 Agentic 编程工具的设计目标，是替开发者完成完整的工作流：读代码、改代码、跑命令、查文档、预览结果、调用云资源。要完成这些事，它必须运行在一个高权限的上下文里——而这个上下文里，恰好堆满了开发者赖以工作的全部凭证。

一条典型的攻击链是这样的：

注意最后三个分支——它们分别对应着代码世界的钥匙、云世界的钥匙和 AI 世界的钥匙。三把钥匙同时落进攻击者手里，意味着从代码仓库到云基础设施再到 AI 会话记录的整条链路都可能被打通。对攻击者来说，这不是几个漏洞点的拼接，而是一条完整的"开发者身份劫持"通道。

更值得警惕的是 AI 会话这个新变量。开发者的 AI 会话里往往沉淀着大量高敏上下文：内部架构设计、数据库连接串、API 密钥片段、未公开的商业计划。OAuth 令牌一旦被冒用，攻击者等于拿到了一份持续更新的"企业情报摘要"。这在传统漏洞模型里是不存在的资产类别，也是 AI 时代攻击面评估最容易被漏掉的一块。

🗺️ 安全债，是快速迭代欠下的

跑得最快的选手，往往欠着最多的安全债。

把 SneakPeek 放到整个 AI 编程工具的竞争格局里看，才能看清它的产业含义。过去两年，AI 编程工具是软件行业迭代最快的赛道之一，各家比拼的核心指标是 agent 能力、上下文长度、工具调用的顺畅度——安全设计，坦率地说，不在第一优先级里。

这张图里的领跑者们有一个共同点：都在朝着"更自主的 agent"方向狂奔。能力越自主，需要的权限越大，攻击面也就越大。这是一个结构性矛盾，不是 Anthropic 一家的工程失误能解释的。SneakPeek 之所以是零点击，恰恰因为预览这类"便利性功能"在安全评审里被视为低风险项——没人把一个预览窗格当成攻击入口来 threat model。

从攻防经济学的角度看，这种错配几乎是必然的。攻击者只需要找到一个产品里最不起眼的便利功能；而厂商的安全团队要在快速发版节奏下覆盖所有新出现的交互面。据安全圈内的普遍观察，AI 编程工具的安全评审流程大多还沿用传统桌面应用的模板，尚未针对"高权限 agent + 本地凭证密集"的新形态建立专门的威胁建模方法。

还有一个容易被忽视的放大器：开发者的信任惯性。开发者群体对工具链的信任度天然偏高——他们信任终端、信任编辑器、信任预览窗格。这种信任在传统工具时代问题不大，因为传统工具权限有限；但 AI 编程工具改变了这个前提，信任模型却还没有跟着改。SneakPeek 利用的正是这个信任代差。

🛡️ 防御清单：把预览窗关进沙箱

别等补丁，先把钥匙从桌上收起来。

对开发者个人和企业安全团队来说，SneakPeek 是一次很典型的"凭证暴露面体检"契机。核心思路不是"等 Anthropic 修"，而是假设任何环节都可能被攻破，先收敛爆炸半径。

这几条里，优先级最高的是凭证生命周期管理。因为无论 Claude Code Desktop 这次的漏洞修复得多快，下一个 "SneakPeek" 还会出现——出现在任何一款 AI 编程工具里。静态、长期有效、高权限的本地凭证，是所有此类攻击的共同获利点。把 SSH 私钥换成基于硬件的签名方案、把 AWS 凭证换成短时效的临时角色，攻击者即使拿到一次快照，也偷不走一把万能钥匙。

第二优先级是终端侧检测。零点击攻击的特点是"用户无感"，但进程行为是有感的：预览进程读取 .ssh 目录、访问云凭证配置文件、发起异常外联——这些在 EDR 视角下都是高置信度信号。企业安全团队应该把 AI 编程工具的进程纳入终端监控范围，而不是默认它和普通 IDE 一样无害。

第三是流程层面：对外来文件建立"先隔离、后预览"的习惯，对 AI 工具的授权遵循最小权限原则。这些听起来是老生常谈，但在 agent 时代，老生常谈的每一条都被赋予了新的权重——因为 agent 的上下文里，躺着比以往任何时代都更完整的凭证地图。

🔮 下一站：Agent 权限模型的重新设计

这次不是开发者犯错，是产品的权限模型在替开发者犯错。

SneakPeek 最值得记录的一点，是它标志着一个转折：AI 编程工具的安全事件，开始从"提示注入"这类 AI 原生话题，回落到最经典的凭证窃取。这说明攻击者已经完成了对这一品类的攻击面测绘——他们不再把 AI 工具当成新鲜事物去试探，而是当成和浏览器、邮件客户端同等级别的成熟攻击目标来对待。

对厂商来说，接下来的竞争维度会悄然变化。功能层面的差距正在缩小，谁能率先建立起"agent 最小权限模型"——预览隔离、凭证访问的细粒度授权、敏感操作的显式确认、可审计的调用链——谁就能在企业采购市场拿到差异化优势。安全不再只是成本项，而是 AI 编程工具进入企业核心研发流程的准入门槛。

对整个行业来说，需要补上的是一套针对 agent 形态的威胁建模方法论：把 AI 工具能触达的每一类凭证、每一个上下文，都纳入攻击面清单。零点击预览漏洞只是一个开始，可以预见，类似 "agent 上下文泄露""工具调用链劫持"的变体还会陆续出现。

小结

SneakPeek 的本质，是 AI 编程工具在享受高权限红利的同时，第一次被系统性追讨安全债。SSH 私钥、AWS 凭证、OAuth 令牌同时暴露在同一个预览窗格里，暴露的不只是一个漏洞，而是一整个品类的权限设计盲区。对开发者，答案是立刻收敛凭证爆炸半径；对厂商，答案是把安全从发版节奏的对立面变成竞争壁垒。Agent 时代的安全，从管好预览窗开始。