边发红队牌照边漏钥匙，Anthropic 在走钢丝

Anthropic 这几天活成了一个行业寓言：一边宣布向审核过的红队开放 Claude 的高级网络能力，一边自家 AI 编程工具被曝出一个能静默偷走开发者 SSH 私钥的零点击漏洞。攻与防、放与收，在同一周里同时上演。

把它们并排看，能看清楚 AI 安全这个新兴行业最核心的张力：能力越强，攻击面越大，厂商的治理责任也越重。（作者分析） 本文拆开讲。

🔓 预览窗里的静默窃取

最危险的漏洞，往往藏在最不起眼的交互里。

Anthropic 的 Claude Code Desktop 有一个预览窗（preview pane）功能，开发者可以用它快速查看文件内容。据安全研究人员披露，代号 "SneakPeek" 的缺陷让这个预览行为本身可以被武器化——攻击者构造的内容一旦被预览渲染，恶意逻辑即在后台静默执行。

“信源与核实说明：

“- 披露渠道：该漏洞经安全研究人员通过负责任披露流程报告 Anthropic，相关信息已由 Anthropic 安全公告确认；

“- CVE 状态：截至发稿，NVD / GitHub Security Advisories 等公开数据库尚未收录对应 CVE 编号，"SneakPeek" 为研究团队内部代号，编号分配情况待更新；

“- 细节核实：本文关于“零点击触发”与凭据窃取范围的描述，均转引自研究者的公开披露与厂商确认，本刊未能独立复现验证，读者应以官方安全公告的后续更新为准。

关键在于“零点击”。传统攻击需要用户主动打开恶意文件、点击可疑链接，而据披露描述，SneakPeek 只需要开发者像往常一样扫一眼代码或文档。受害者全程没有任何异常感知，这正是"Silent"一词的含义。

据披露，被窃取的东西分量十足：SSH 私钥、AWS 凭据，以及 Claude 的 OAuth 令牌。

值得注意的一个细节：窃取目标里包含了 Claude 自身的 OAuth 令牌。也就是说，一个 AI 编程工具的漏洞，最终可能让攻击者反过来接管受害者的 AI 会话与授权。（作者分析） 攻击面和产品能力在这里形成了闭环——工具越深入开发者的工作流，它能被撬开的价值就越高。

对厂商而言，这是一个必须承认的新现实：Claude Code 这类 Agent 产品已经不是单纯的聊天窗口，而是运行在开发者本机、持有高价值凭据的特权软件。（作者分析） 安全设计的基线，得按系统级软件的标准来，而不是按网页应用的标准来。

💼 开发者工作站，是新时代的金矿

为什么一个预览窗漏洞值得整个行业警觉？因为开发者工作站早已不是一台普通的电脑。

一个后端工程师的机器上，通常躺着什么：直接通往生产环境的 SSH 私钥、带高权限的云访问密钥、CI/CD 的部署令牌、内部系统的 API Key，甚至还有各家 SaaS 的登录态。安全圈一个不难听到的共识是：拿下一位核心开发者的笔记本，约等于拿到半个公司的入口。

据披露，SneakPeek 窃取的三类凭据，恰好构成了完整的攻击链条：

这就是现代勒索与数据窃取团伙的标准起步路径：不撬大门，先偷钥匙。（作者分析） 历史上多起大规模入侵事件的起点，都只是开发链条上一枚不起眼的凭据泄露。

把这张链条图和 SneakPeek 对着看，你会发现它不是一个“小 bug”。（作者分析） 它是一个把开发者个人风险直接转化为企业风险的入口，而且据披露描述，触发条件低到接近于零。

🎫 CVP：把攻击能力分级发牌照

漏洞的另一面，是 Anthropic 正在主动放权。

2026 年 10 月 6 日，Anthropic 宣布扩展其 Cyber Verification Program（CVP），将原有的审核计划与 Project Glasswing 整合，面向通过审核的安全专业人士，提供限制更少的 Claude 高级网络能力。

“信源与核实说明： 发布日期与计划细节均以 Anthropic 官方新闻室公告为准，本刊已对照官方信源核实：整合对象（原有审核计划 + Project Glasswing）与三层级用途划分（防御分析、授权攻击测试、敏感基础设施评估）均出自官方公告原文；各层级的具体审核标准，以官方后续发布的准入细则为准。

据官方公告，整个体系划分为三个访问层级，对应三类用途：防御分析（defensive analysis）、授权攻击测试（authorized offensive testing）、敏感基础设施评估（assessments of sensitive infrastructure）。层级越靠后，能力越强，准入审核预期也越严格。

用大白话说：Anthropic 在把“高能力 AI 的攻击面使用”从一个需要反复绕过安全策略的灰色地带，变成一张有申请流程、有身份审核、有用途分级的通行证。（作者分析） 这在行业里是一个明确的方向性动作——与其让能力被所有人用同样的方式绕过，不如把能力差异化为可审计的分层授权。

它的产业意义有两层。（以下为作者分析）

第一，对安全行业：合规红队的渗透效率将系统性提升。过去红队报告里大量时间花在信息收集、工具串联和报告撰写上，AI 能把这部分的边际成本压到很低。第二，对整个 AI 行业：这是一次“能力治理模型”的公开试验——如果 CVP 跑通了，其他前沿模型厂商大概率会跟进，AI 攻防能力的获取将出现事实上的行业标准。

风险也同样清晰：审核体系本身成为新的单点。谁能进、依据什么进、进入后行为如何审计，每一个环节都是攻击者的潜在目标。

⚠️ 两件事放在一起，才是真问题

真正值得琢磨的，是这两条新闻的时间重叠。（本节分析均为作者观点）

同一家公司，同一周里，一边在向红队发放更强攻击能力的“牌照”，一边自己产品里藏着一个零点击的凭据窃取漏洞。这不是巧合式讽刺，而是 AI 厂商处境的真实写照：当你的产品既是最强的防御助手，又是攻击链条上最有价值的一环时，任何治理策略都运行在刀锋上。

SneakPeek 暴露的是“内部攻击面”失控——产品自身成为凭据窃取的载体；CVP 暴露的是“外部能力”治理——把攻击能力当作一种需要准入的资源来发放。前者考验的是软件工程质量，后者考验的是治理设计能力。任何一家把 AI 做进开发者工作流的厂商，都会先后撞上这两堵墙，只是 Anthropic 因为跑得快，先撞上了而已。

对采购方和企业安全团队，这里有几条实际判断值得记下：（作者分析，供参考）

• AI 编程工具要按特权软件管理：限制其凭据访问范围，最小权限化，凭据不走明文落盘；
• 预览与渲染类功能是新的攻击入口：对 Agent 产品的文件预览、自动执行类功能保持怀疑；
• OAuth 令牌是新的黄金凭据：会话与授权令牌的生命周期管理，要和 SSH 密钥同级对待；
• 红队用 AI 前先确认准入与审计：CVP 类计划是正规路径，绕过安全策略自行解锁是合规风险。

冰山之下那三层，才是接下来两三年 AI 安全真正的战场。（作者分析） SneakPeek 只是第一块浮出水面的碎冰。

结语：钢丝上的行业

把 Anthropic 的这一周浓缩成一句话：AI 正在同时成为最好的防御工具和最诱人的攻击标的，而厂商必须同时做好软件工程与能力治理这两件事，缺一不可。（作者分析）

SneakPeek 的补丁会很快落地，CVP 的审核流程也会迭代，但“强能力 AI 深度嵌入工作流”这个大趋势不会逆转。对企业来说，与其纠结某一款工具的安全瑕疵，不如现在就重估所有 AI Agent 产品的权限模型——下一次静默偷钥匙的，未必还是预览窗。