网络安全观察日报｜AI是矛也是饵

一、开篇暴击：今日最荒诞的一幕

今天最讽刺的画面，非 Anthropic 莫属。

一年前，全行业还在幻想 AI 帮我们过滤钓鱼邮件；今天，Anthropic 这四个字母本身，成了钓鱼邮件里最锋利的钩子——攻击者打着"Anthropic 安全通知""Claude 账号异常"的旗号发信，居然绕过了主流安全网关。卖水的，成了水源污染现场。

这不是技术失灵，这是信任失灵。安全工具拦得住 Russian 拼写错误的垃圾邮件，拦不住一家"政治正确到发光"的 AI 明星公司发出的"官方通知"。员工的肌肉记忆是：看到 Anthropic/Claude 字样→紧张→点进去看看。攻击者不需要零日漏洞，只需要一个大家都想点开看的品牌名。

而更妙的是，同一天 DarkReading 还报道了[Claude 模型能跨主流浏览器和操作系统构建 exploit]。一边是 Anthropic 的名字在被人当鱼饵使，一边是 Anthropic 的模型在被当鱼竿用。这一天，AI 安全从 PPT 走进了案卷。

二、最被高估的事："AI 自主写漏洞"的末日叙事

今天圈里刷屏的是什么？Claude 能自己构建 exploit、横扫主流浏览器和操作系统。标题党们已经开始写"AI 取代渗透测试工程师"了。

冷静点。

首先，这是能力演示，不是攻击实录。模型在受控环境下拼出 exploit 链，证明的是前沿能力和研究价值——这值得尊重，但把它直接翻译成"红队失业、蓝队绝望"，是典型的把实验室当战场。

其次，看看今天的真实攻击者在干什么：发 Anthropic 主题的钓鱼邮件、给 Cursor 的 Claude Code 扩展挂木马、伪装成 AI 爬虫扫凭据。没有一环需要自主 exploit 生成。攻击者最爱用的依然是那条一百年的老路：人不点链接，再聪明的 AI 也白搭。

真正该被讨论的，不是"模型多能打"，而是模型被接进了多少条生产管道。当开发者把 Claude Code、Codex 接进 IDE、CI/CD 和内部系统时，攻击面早就从"模型会不会写漏洞"转移到了"管道有没有被污染"——这正是今天 Cursor 木马化扩展干的事。

把火力集中在"AI 写 exploit"上，就像盯着导弹拦截系统，却没人管军火库的锁。高估了矛的精度，低估了开门的钥匙有多好偷。

三、最被忽视的事：灰产中继正在悄悄拆掉沙箱

今天素材里最阴、最没人讨论的一条：有灰色 AI 中继服务正在系统性关闭 OpenAI Codex 和 Claude Code 的沙箱。

这意味着什么？意味着一条完整的灰产基础设施已经成型：有人搭中继，把 coding agent 的安全护栏当开关卖。用户为省钱或省事接上去，模型直接以非沙箱权限跑在你的机器上——所有安全设计，在"中继帮你关掉"面前形同虚设。

行业天天在吵模型对齐、 Constitutional AI、RLHF，结果护栏的最后一公里被人用最原始的方式绕过了：软件供应链里加个开关。AI 安全讨论的聚光灯全打在模型层，可现实是，威胁已经下沉到分发层、中继层、扩展层。

同一条线上的还有 GitHub：GhostAction 攻击潮虽然"hushed down"了，但攻击者还潜伏在平台上，项目没清干净，后台没查完。配合今天另一篇"不死项目持续制造安全风险"的报道，画面很完整——被弃养的开源项目、残留的维护者权限、潜伏的攻击者，共同构成一条无人打扫的走廊。

大家都在盯着前门的 AI 大战，后门的沙箱正在被一个一个拧开。这才是今天真正值得熬夜看的东西。

四、最值得警惕的事：假扮 AI，是当下最好的隐身斗篷

第四条素材短，但含刀量最高：攻击者正在伪装成 AI 爬虫，无休止地扫描凭据。

为什么这招毒？因为现在每家企业都在疯狂拥抱 AI agent：给 Anthropic、OpenAI 的爬虫开白名单，给 coding agent 发 API key，让 agent 浏览内部文档、调用内部系统。AI 流量成了默认受信任流量。

可问题是：你分得清哪个 agent 是真的吗？UA 头一改，谁都是"AI bot"。安全团队面对一波打着 AI 旗号的扫描，第一反应是"别挡着我们的 AI 战略"——放行。攻击者要的就是这个犹豫。

再叠加另一条素材：AI 已经走进医院走廊。医院是什么地方？数据金矿+系统老旧+停机等于人命的地方。当"假 AI 爬虫扫凭据"遇上"医院真 AI 系统握着全部病历权限"，这不是推演，这是倒计时。

AI agent 身份验证体系至今缺位——没有统一的 agent 身份标准、没有行为基线、没有"验证你真的是你声称的那个模型"的机制。每多一家公司给 AI 开白名单，这道缺口就宽一寸。等出事再补，补的就是尸检报告。

五、数据说话

把今天的威胁素材连起来看，一条完整的"AI 供应链攻击链"已经清晰可见：

再看攻击的"信任层级"——越往上，防御越薄弱：

金字塔说明一切：讨论热度与实际风险成反比。模型层的安全闹得沸沸扬扬，防御也最硬；而"AI 品牌即信任"这一层，防御约等于零，攻击却已经开局。今日素材按分诊分排下来，9 分的头条给了模型能力，但真正咬人的，全是金字塔上半截。安全团队该把预算和注意力，往上面两层挪了。