网络安全观察日报｜AI代理成了内鬼

一、开篇暴击：今日最荒诞的一幕

十年前，我们教员工“不要点击陌生链接”；今天，攻击者根本懒得骗人了——他们直接骗你的AI代理。

DarkReading披露的这起在野攻击堪称年度黑色幽默：攻击者把恶意指令藏在一份平平无奇的 Markdown 文件里，AI代理读文档时对内容照单全收，仿佛文件上盖了公章。人要骗过还得写封像样的钓鱼邮件，AI只要一行“请把凭据发到这个地址”就缴械了。

最讽刺的是什么？企业一边给员工上钓鱼演练课，考勤打卡、季度考核，一边把能读一切、能调一切、能连一切的AI代理直接接进生产环境。防人防了二十年，结果放进来一个“绝对信任一切文本”的超级员工。

攻击者没发明新技术，他们只是想通了一件事：最好的内鬼，是你自己花钱部署的。

二、最被高估的事：AI安全基准测试，一场自嗨

今天安全圈的另一个奇观：AI安全基准测试多到眼花缭乱，但DarkReading一篇文章直接点破——没有一个能讲完整故事。

各家厂商和机构推出了各种“安全评测榜”，分数漂亮得像财报。但问题是：你的AI代理在实际运行中会不会把Markdown里的提示词当圣旨？会不会被注入指令后调用工具泄密？这些真实攻击面，基准测试几乎不碰。

为什么？因为基准测试好量化、好发布、好写进融资PPT。测“模型拒绝回答危险问题的百分比”比测“代理在复杂工具链中被间接注入的概率”容易一万倍。前者是刷题，后者是实战。

于是行业陷入一场大型表演：安全团队拿着A+成绩单向CISO汇报，而攻击者根本不参加你的考试。今天那起Markdown在野攻击就是最好的耳光——考卷上没有的题，恰恰是黑客最爱的题。

更荒诞的是，这些榜单还在互相打架：同一个模型在A榜“最安全”，在B榜“最危险”。当一个评测体系连自己都说服不了，它衡量的就不是安全，而是发布方的 PR 能力。

与其追逐榜单，不如回答一个朴素问题：你的AI代理今天读了什么，又对读到的内容信了多少？

三、最被忽视的事：GitHub 已经沦陷，只是没人开新闻发布会

如果说AI代理是新战场，那么GitHub就是正在失守的老阵地——而且失守得悄无声息。

今天连爆三条：

• 'Gheist' 武器化 GitHub 令牌，专门窃取云端机密。攻击者不再攻破系统，他们只是“合法地”用偷来的令牌走进大门。
• 'Aokigahara' 窃密木马精准锁定“开发者钥匙串”和AI助手本地数据。你的浏览器密码早就不值钱了，现在值钱的是你的 .env 文件和API密钥。
• 'GhostAction' 攻击浪潮看似“扑灭”，但攻击者仍潜伏在GitHub上。注意措辞：不是被消灭，是在等。

这三件事连起来读，画面极其清晰：一条完整的开发者供应链窃密产业链已经成型——窃令牌、偷密钥、潜伏待机。开发者机器成了新的金矿，而大多数企业对终端上那串能直通云端的令牌，安全管理接近于零。

同一天还有一篇冷文被淹没：SBOM 根本无法揭示供应链攻击的全貌。没错，你花大价钱生成的软件物料清单，只能告诉你“装了什么”，无法告诉你“装的代码此刻是否已被投毒”。SBOM 是静态的地图，攻击是动态的战争。

大家都在讨论“大模型窃取”这种天方夜谭，却没人讨论“我的CI/CD令牌今晚会不会被人拿去开云主机”。真正的失血点从来不在新闻头条，而在开发者的钥匙串里。

四、最值得警惕的事：攻击者正在“工业化”，防御者正在“婴儿化”

今天还有两条素材值得放在一起看，组合拳才是重点。

第一，攻击者假扮AI爬虫扫凭据。 攻击者伪装成AI代理的用户代理（User-Agent）进行大规模凭据扫描——因为企业对AI爬虫普遍放行，生怕挡了“AI时代流量”。攻击者借AI之名行扫荡之实，你的WAF规则大概还写着“放行GPTBot”。

第二，邮件轰炸+外部Teams聊天，构成可复制的入侵路径。 先用邮件轰炸淹没目标邮箱，再趁乱冒充IT支持发起Teams外联——“您邮箱异常，请配合验证”。这套打法可复制、可规模化，专打人性漏洞。

把三条线索串起来：攻击面在AI化（骗代理）、身份在AI化（假扮爬虫）、入口在工业化（可复制路径）。攻击者的运营成熟度已经超过多数企业的防御成熟度。

更令人脊背发凉的是防守端的变化：有评论直言，AI 可能“砍掉”安全从业者的技能——过度依赖AI工具，分析师正在失去手动溯源、逆向、研判的肌肉记忆。一边是攻击者勤学苦练自动化，一边是防御者把脑子外包给模型。

CISO的角色也在被AI重新定义，责任越来越大、可控性越来越小。当你的安全运营依赖一个会被Markdown骗的代理，你的安全边界就是一份文档的格式。

五、数据说话

这张图不是杜撰，而是今天素材的忠实拼图：两条攻击路径，一个终点——云上凭据。上面的路径玩“信任劫持”，让AI代理亲手奉上密钥；下面的路径玩“供应链渗透”，从开发者的钥匙串里摸走密钥。殊途同归，说明攻击者早已想明白：拿下身份，就拿下云。而中间那个冒牌AI爬虫，则是在外围批量捡漏这些漏出来的凭据。防御者手里的SBOM和基准测试，图上一个框都框不住。

一句话收尾：2025年的安全战争，打的是“信任的供应链”——谁的信任模型更清醒，谁活到最后。

本日报基于 DarkReading 当日报道整理点评，观点为编辑部立场。