谁在教 AI 助手偷你的密钥？

同一个星期，安全圈出了三件事，放在一起看很有意思。

Adversa AI 的研究员公开了针对 GitHub Copilot CLI 的攻击手法：藏在加密内容里的恶意指令，能把开发者机器上的密钥骗出来。Cisco Talos 发出警告，AI 智能体集群（agent swarm）可能把传统上以月计的攻击流程压缩到小时级。而 Anthropic 宣布启动 Cyber Mission，带着 Claude 系列模型正式下场做防御，对象是关键基础设施和开源软件。

一个在攻，一个在预演更狠的攻，一个在补防。三件事拼在一起，其实是同一个信号：AI 智能体已经同时坐上了攻防牌桌的两端，而牌桌本身还没来得及加固。

🔐 加密提示注入：藏在密文里的那把刀

先看最扎手的一个。

想象一个场景：开发者正在用 Copilot CLI 干活，随手让智能体去抓取某个网页或代码仓库的内容做参考。这个页面看起来人畜无害，但其中一段内容是加密的。智能体出于“理解内容”的本能去解密，解出来的是一组恶意指令——然后，它照做了。

这就是 Adversa AI 披露的技术，名字起得很直白：Cryptographic Context Injection（密码学上下文注入，CCI）。核心思路是利用加密内容绕过传统的提示注入检测——大多数防护逻辑是扫描明文里的可疑指令，而一段密文在扫描器眼里只是乱码。可问题是，智能体手里恰恰握着解密和执行的能力，它会把这段“乱码”翻译成行动，在自己的运行时环境里跑起来，最终目标是窃取开发者本地的敏感凭据。

按照 Adversa AI 披露的手法，这条攻击链条可以拆成六步：

1. 投递：攻击者把加密的恶意载荷埋进智能体可能主动抓取的外部内容里——公开网页、代码仓库的 README、issue 评论、文档，都是候选位置；

2. 诱导抓取：开发者在正常工作中让 Copilot CLI 去参考这份外部内容，比如“帮我看看这个仓库的说明”；

3. 解密：智能体运行在开发者本机，具备调用解密工具和执行命令的能力。面对一段密文，“先解开看看”是符合其任务逻辑的动作；

4. 注入：解密后的明文以普通内容的形式进入智能体的上下文窗口，对检测器而言，注入发生在这一步之后，已经来不及了；

5. 执行：智能体把解密出的指令当作任务去完成——定位并读取环境变量、配置文件、云凭据、CI/CD 令牌；

6. 外传：凭据经智能体已有的网络访问能力被送回攻击者控制的通道，全程不需要开发者点任何确认。

这个手法真正值得警惕的地方，不是某个具体漏洞，而是它揭示的结构性问题：加密本来是防御工具，在这里被反转成了攻击载荷的投递通道。 提示注入不是新问题，但之前的注入指令是明文，多少还能靠模式匹配、内容审查兜一层。CCI 把载荷变成密文，等于把检测逻辑的地基抽掉了——你无法扫描你看不见的内容，而智能体天然有“读懂一切”的任务驱动。

更麻烦的是攻击面的位置。Copilot CLI 这类编程智能体运行在开发者本机，手里握着代码仓库访问权、环境变量、云凭据、CI/CD 令牌。换句话说，它可能是整个企业里权限最重的“员工”，却是用自然语言指令驱动的。传统安全建设里，凭据靠密钥管理、权限靠最小化原则、边界靠网络隔离——现在多了一个能自主执行任务的 AI 层，这层几乎没有原生的安全模型。

还要区分清楚 CCI 打的是两个环节里的哪一个：多数企业对 AI 编程助手的现有约束停留在“限制它能访问哪些目录”，也就是它能读什么；而 CCI 的入口在它会主动去哪里取内容——对外部内容来源的信任链约束，目前几乎没有成熟方案。前者靠权限清单能兜住一部分，后者在 CCI 面前基本不设防。

一句话总结这一节：当加密内容都可能是指令，“信任所见内容”这条老规矩对智能体彻底失效了。

⚡ 从数月到数小时：攻击方的工业化提速

如果说 CCI 是一次精准的手术，那 Cisco Talos 的警告描绘的是规模化战争的图景。

Talos 的判断很直接：协调行动的 AI 智能体集群，可以把一次复杂网络攻击所需的全部前置工作——红队规划、侦察踩点、基础设施搭建——从传统的数月压缩到数小时。而且 Talos 把问题重新定义了：争议点已经不是“AI 会不会被用于攻击”，而是“组织如何扛住持续性、可规模化的自动化攻击”。

这个改口值得细品。过去几年，行业里关于 AI 攻击的讨论大多停在“AI 能写出更好的钓鱼邮件”这种层面。Talos 把叙事往前推了一大步：不是单点工具增强，而是攻击流程本身被并行化了。

传统攻击是一条串行的流水线：先花几周做外部侦察，再花几周找入口，再花几周横向移动、提权、部署载荷。每个环节都有人肉等待时间，防御方靠这个时间差做检测和响应。智能体集群改变的是什么？是这条流水线可以被拆成几十个并行任务同时跑——一个智能体扫资产，一个智能体试凭据，一个智能体在暗网和公开仓库里找泄露信息，彼此共享中间结果。时间不再是环节的叠加，而取决于最慢的那个并行分支。

用两个维度可以看清 Talos 这次警告在威胁版图上的位置：一是自动化程度，二是规模化协同能力。传统人工 APT 组织有组织力和耐心，但每个环节靠人执行，自动化程度低；AI 辅助漏洞挖掘自动化程度不低，但停留在单点工具，没有协同；AI 生成的钓鱼邮件可以海量复制，却没有自主决策能力。智能体集群是唯一同时占满两个维度的存在——这也是为什么 Talos 特意用"swarm"这个词，它强调的是协同而非单智能体的能力。

对防御方的含义很冷峻：蓝队引以为傲的响应速度优势正在被削平。过去安全团队常说“攻击者要在内网待几周，我们总有时间抓到他们”，当侦察到落地的窗口被压缩到小时级，依赖人工研判的 SOC 流程第一次在时间维度上全面落后。检测必须自动化，响应必须自动化——这不是愿景，是被攻击节奏倒逼的底线。

🛡️ Anthropic 下场：防御方第一次带着模型参战

攻方提速的消息传来，防御阵营最大的模型厂商给出了自己的答案。

Anthropic 宣布启动 Cyber Mission，定位是长期计划，目标是帮助防御方保护关键基础设施和开源软件。这个计划的核心资源就是自家的前沿 Claude 模型，配套三件套：工程支持、威胁研究、资金投入。具体落成两个组件——

其一是关键基础设施防御计划（CIDP），面向电力、水务、医疗这类一旦被打就是社会事件的行业，把模型能力和工程资源直接输送到防御一线。

其二是 OSS Scanner，一个免费、自愿加入的开源代码扫描服务。开源软件是现代软件供应链的地基，但维护者大多是没预算、没安全团队的个人开发者——Log4j 事件的教训所有人都记得。Anthropic 选择从“给开源社区免费提供扫描能力”切入，是一个聪明且务实的落点：不做大而空的承诺，先把最大的公共风险面覆盖一层。

把这三个动作按时间和角色排开，产业结构的变化就清晰了：Adversa AI 披露 CCI，证明智能体本身可以成为攻击入口；Cisco Talos 发出集群攻击警告，指出攻击周期正在从月级压缩到小时级；Anthropic 启动 Cyber Mission，前沿模型厂商正式补位防御方。三者出现在同一个周期内，各自对应攻、攻的规模化、防三张牌。

过去安全产业的分工是：漏洞研究员找问题，安全厂商做产品，企业客户买单，模型厂商在旁边围观。现在 Anthropic 直接跳进了“防御方”的位置，而且带进去的是安全厂商都不具备的东西——前沿模型的原始能力。威胁研究、代码审计、攻击推演，这些高人力密度的安全工作恰恰是大模型当前性价比最高的应用场景之一。

但这里也有一个绕不开的张力：模型厂商既是攻击技术的最大放大器（能力强了，滥用面也大了），又是防御能力的最大供给方。这种“既卖药又管药效”的角色，业界的看法并不统一。支持者认为，前沿能力集中在少数几家手里，他们不做防御谁做？质疑者则担心，防御效果由模型厂商自己定义，第三方验证在哪里？这个分歧目前没有公开的第三方评估可以参照，只能留待 Cyber Mission 实际运行后的独立检验。

而主流安全厂商的现实选择也基本可以推演：把 Claude 这类模型当引擎接进自家产品，同时在数据边界、审计合规上留足自己的护城河——这是“不站队、先集成”的姿态。安全产业大概率不会出现“模型厂商取代安全厂商”的剧本，更现实的分工是：模型提供能力，安全厂商提供工作流、责任兜底和行业 know-how。

⚖️ 攻防同时提速之后，产业逻辑变了什么

三件事拼完，该谈判断了。AI 攻防同步提速，至少改写了三条行业默认设置。

第一条：攻击面从“系统”扩展到“智能体”。 CCI 攻击打的不是 Copilot CLI 的代码缺陷，而是它的任务模型本身——一个被设计为“理解并执行内容”的系统，天生暴露在内容注入的风险下。这意味着未来的安全评审清单里，会多出一类全新的评审对象：智能体的权限边界、内容来源信任链、工具调用白名单。传统漏洞管理管不了这类风险，因为“漏洞”不在代码里，在交互协议里。

对企业和安全团队，这意味着防御建设要补三块课：

• 权限治理：给智能体最小化的工具集，凭据隔离存储（智能体默认接触不到明文密钥），敏感操作强制二次确认；
• 内容信任链：外部内容默认不可信，解密与执行解耦（解密动作不直接触发任务执行），注入检测必须覆盖密文场景；
• 可观测性：工具调用全量审计、异常任务告警、为智能体行为建立基线，让“它今天为什么去解密了一段没人让它解的内容”这类问题有答案可查。

第二条：安全产品的时间参数要重调。 当攻击窗口从月压缩到小时，一切以“天”为单位的流程——人工研判、周期性扫描、事后取证——都成了慢变量。检测与响应的自动化不再是可以慢慢规划的方向，而是当下的生存条件。这会直接利好 XDR、SOAR、自动化威胁情报这类品类，也会倒逼企业把 MTTR（平均响应时间）从 KPI 里的次要指标提到首要位置。

第三条：防御资源的分布要重新洗牌。 Anthropic 选择的关键基础设施和开源软件这两个落点，恰好是过去安全投入最薄弱、外部性最大的地方。当攻击可以工业化复制，防御却仍靠每个组织各自为战，攻防资源的天平只会进一步倾斜。Cyber Mission 这类“平台化防御供给”如果跑通，可能催生一种新模式：安全能力像公共品一样由能力最强的一方集中供给，组织按需接入。这对中小企业的意义尤其大——它们永远养不起一支顶级蓝队，但它们可以被“接入”到顶级防御能力里。

把三条逻辑合起来，AI 攻防新格局下的三组核心矛盾与对应解法可以概括为：其一，加密内容成为指令载体、传统注入检测失效——应对是把外部内容默认视为不可信，解密与执行解耦，建立内容信任链；其二，智能体集群把攻击周期从月压缩到小时——应对是检测与响应全面自动化，重设安全流程的时间参数与 KPI；其三，关键基础设施与开源软件防御资源长期不足——应对是平台化防御供给，能力方集中建设，组织按需接入共享防御。

需要泼一盆冷水的是：三份素材给出的都是方向性判断，不是已验证的量化结论。CCI 是披露的概念性攻击手法，Talos 的“月到小时”是威胁建模推演而非实测数据，Cyber Mission 的实际效果也有待观察。冷静看，这三件事的真正价值不在吓人，而在校准——校准我们对 AI 时代攻防节奏的预期。安全行业最贵的教训从来不是低估威胁，而是用上一代威胁的时间表去应对这一代威胁。

写在最后

回到开头的问题：谁在教 AI 助手偷你的密钥？

答案不神秘——是智能体架构里那个未被审视的假设：“它读懂的内容，就是它该执行的任务。”CCI 利用了这个假设，集群攻击放大了这个假设的后果，而 Cyber Mission 试图用一个更强大的模型去对冲整个假设带来的风险。

对安全从业者，接下来一年值得盯住三件事：智能体权限模型的标准化进展、自动化检测响应在企业侧的实际落地率、以及模型厂商深度介入防御后，责任边界如何划分。对普通开发者和企业 IT 团队，当下能做的最实际的一步，是把手里 AI 编程助手的权限清单拉出来过一遍——攻击者的脚本可能已经写好了，别让你的密钥成为第一个验证样本。