黑客盯上了你的AI助手

导语： 过去几周，三起看似不相关的攻击被摆到了同一张桌上：Rust 编写的窃密木马 Warden Stealer 系统化收割 Claude、Codex、Grok、Cursor 的本地配置和令牌；一个俄语系勒索附属组织把 MCP（Model Context Protocol）当成了活体入侵中的命令控制通道；而一年前爆出 ToolShell 漏洞链的 SharePoint，至今还在被 Warlock 勒索软件当作敲门砖。这不是巧合。当开发者的工作流全面迁移到 AI 智能体，攻击者比安全厂商先一步完成了"换赛道"。这篇文章想说的核心判断只有一句：AI 智能体已经成为真实攻击面，且防御侧的反应速度落后于攻击侧。

🎣 配置文件成了新的密码本

每一台装了 AI 编程助手的开发者电脑，都是一座没上锁的金库。

先看场景。一个典型的开发者现在是什么状态？Cursor 里登着付费账号，Claude Desktop 存着 API Key，MCP 配置文件里挂着 GitHub Token、数据库连接串，本地数据库里躺着过去几个月的全部对话记录——里面可能有客户的真实数据、内部架构讨论、甚至某个还没发布的业务计划。这些东西散落在用户目录下，权限宽松，鲜有加密。

GBHackers 披露的 Warden Stealer 正是冲着这些来的。这款 Rust 编写的窃密木马以恶意软件即服务（MaaS）模式快速扩张，是目前最早被观察到系统化收割 AI 智能体资产的家族之一——目标清单包括：AI 助手配置文件、本地令牌、提示词历史、对话数据库，以及 MCP 设置。

这个目标清单值得逐行读一遍。窃取 API 令牌，意味着攻击者可以用受害者的账号继续调用大模型，费用记在受害者头上；窃取对话数据库和提示词历史，意味着企业的隐性知识资产直接外泄；窃取 MCP 配置，则等于拿到了受害者连向内部系统的"钥匙串"。传统的 infostealer 偷浏览器密码、偷 Cookie， Warden Stealer 只是把同一套逻辑平移到了新的数据富矿上。

其攻击链条可以简化成下图：

产业逻辑在这里非常清晰：攻击者永远跟随数据的迁移路径。十年前数据在浏览器里，于是有了偷浏览器密码的家族；五年前数据在云上，于是有了针对 OAuth 令牌的滥用；现在数据在 AI 智能体的本地配置里，于是有了 Warden Stealer。据多位接近威胁情报团队的人士透露，这类"AI 资产窃取"模块正在成为 MaaS 市场里的标准配置，买家甚至可以按目标软件勾选采集项。防御侧该问的问题是：你的终端安全产品，扫过 ~/.claude 和 .cursor 目录吗？大多数产品目前的答案是——没有。

🕳️ MCP 从开发协议变成攻击者的C2

最优雅的攻击，是把受害者的正常工具变成攻击通道。

如果说 Warden Stealer 是"偷数据"，第二起事件则是"用通道"，性质更狠。安全公司 CloudSEK 在调查一名自称 Azazel 的攻击者暴露的基础设施时发现，这名运营着独立泄露站 LEAKED 的攻击者，其所属的俄语系勒索软件 Gentlemen 附属组织，在实际入侵活动中利用 MCP 执行命令——把 AI 编程助手的工具调用接口，变成了运行中的命令与控制（C2）通道。

这件事的技术含义需要拆开讲。MCP 的设计初衷，是让大模型能够标准化地调用外部工具——读写文件、执行命令、连接服务。在企业环境里，走 MCP 的流量通常被视为"开发者工具的正常行为"，防火墙不拦，EDR 不告警，出网策略宽松。当勒索附属组织把指令下发和执行都藏进 MCP 通道，他们就获得了一条天然隐身的隧道：流量看起来是你在用 AI 写代码，实际上是攻击者在你的终端上执行命令。

据业内人士私下交流的说法，这类"借合法协议做 C2"的手法在过去一年明显增多——DoH（DNS over HTTPS）用过，Slack API 用过，现在轮到了 MCP。它们的共同点是：滥用的是企业自己批准的通道，防御方要么误报率爆炸，要么干脆失明。

产业判断如下：MCP 生态正在爆发式扩张，几乎所有主流 AI 智能体都接入了 MCP 服务器，而 MCP 服务器的权限模型、审计能力、最小化授权实践，整体还处于草莽阶段。一个能执行任意工具调用的协议，如果没有出口管控和行为审计，就是一个分发权限的后门。攻击者这次只是示范了一下怎么用。

🕰️ 一年前的门，还在打进水电厂

补丁管理这门老手艺，依然是大多数组织的短板。

前两起事件指向 AI 带来的新攻击面，第三起则是对旧账的提醒。Symantec 的追踪显示，Warlock 勒索软件至今仍在利用未修补的 SharePoint 漏洞，攻击全球的水务公用事业、电信、政府和大学。这些漏洞正是 2025 年年中代号 ToolShell 的 SharePoint 零日漏洞链——当时曾刷屏安全圈。一年多过去了，同一扇门还在被同一拨人推开，而且还在进得去。

受害目标清单值得再看一眼：水务、电信、政府、高校。全是关键基础设施，全是"打了补丁就不至于沦陷"的场景。ToolShell 并不是什么需要顶级 0day 技术才能复现的攻击，漏洞细节早已公开，PoC 满天飞，补丁也早已发布。沦陷的组织缺的不是补丁，而是资产清点、变更窗口、和"旧系统谁也不敢动"的治理僵局。

三起事件放在一起看，脉络非常清楚：

据多位一线应急响应工程师的观察，勒索事件的初始入口里，"存在已知漏洞但未修补"的比例常年高居前列。新攻击面和旧漏洞债务，正在同时挤压防御资源——这恰恰是攻击者最乐见的局面。

📊 防御市场还没跟上攻击者的节奏

攻击者已经完成换赛道，安全厂商的产品路线图还在排队。

把三起事件翻译成市场需求，可以看到几个清晰的空白地带：AI 资产的发现与守护（你的组织里有多少 AI 助手在跑？谁的令牌有生产环境权限？）、AI 工具调用的行为审计（MCP 调了什么、出了什么网）、以及传统的漏洞管理基本功。这些能力目前分散在不同类型的玩家手里，格局大致如下：

云厂商手握 AI 工作流的天然观测点，理论上最有条件做原生防护；身份安全厂商握有令牌生命周期管理的钥匙；AI 安全创业公司动作最快但纵深不够；传统 EDR 大厂有终端覆盖但对 AI 资产普遍"不认识"；网关类产品则面临被绕过的尴尬。CloudSEK、Symantec 这类情报团队的披露固然关键，但披露不等于防御能力，中间还隔着产品化和交付。

落到企业与开发者的实操层面，问题和解法的对应关系其实不复杂：

需要强调的是，这张清单里没有一条依赖全新技术。凭证金库、出网管控、数据分级、补丁 SLO，全是安全行业做了十几年的基本功——只不过对象从服务器换成了 AI 智能体。真正的门槛不在技术，在于组织是否把 AI 资产纳入了安全管理视野。

结语：攻击面搬家了，安全预算呢？

三起事件、三条战线，指向同一个转折点：AI 智能体不再只是效率工具，它已经是一个承载凭证、知识资产和执行权限的完整攻击面。 Warden Stealer 偷的是它的数据，Gentlemen 附属组织用它的协议做通道，Warlock 则提醒我们旧的门从来没关上。可以预见的下一步是：AI 资产管理会成为安全采购清单上的独立条目，MCP 等工具协议会补上审计与权限标准，而继续欠补丁债的组织会继续出现在应急响应的案卷里。对防守方来说，现在最好的策略朴素得很——把 AI 智能体当生产系统对待，然后，把一年前的补丁打上。