AI代理，成了黑客的新提款机

当行业还在争论大模型越狱的风险时，攻击者已经悄悄换了目标。Rust 编写的窃密木马 Warden Stealer 把 Claude、Codex、Grok、Cursor 列进猎物清单；Gentlemen 勒索组织的附属团伙则在实战入侵中把 MCP 协议用成了 C2 通道。三个事件放在一起，指向同一个判断：AI 代理不再只是「被顺带波及」的资产，它正在成为一条独立的、被明码标价的攻击面。

⚠️ 窃密木马换赛道：浏览器密码不香了

最了解你代码价值的，除了你老板，还有黑产。

想象一台典型的开发者笔记本：Cursor 里躺着整周的对话记录和重构方案，Claude 桌面端的本地数据库存着几个月的 Prompt 历史，MCP 配置文件里是各种服务的接入令牌。过去，窃密木马扫的是浏览器的登录凭据目录和加密货币钱包；现在，这份清单上多出了一整层 AI 资产。

据安全媒体报道，Warden Stealer 是一个快速增长的网络犯罪即服务（MaaS）运营，基于 Rust 编写，是首批被观察到系统性收割 AI 代理数据的恶意软件家族之一——目标涵盖 Claude、Codex、Grok、Cursor 等 AI 助手与编码代理，窃取内容包括 AI 代理配置文件、本地令牌、Prompt 历史、对话数据库以及 MCP 设置。

这不是猎奇，是定价。一个 AI 订阅令牌背后是算力额度、代码上下文和企业业务信息；对话数据库里可能躺着未公开的产品规划。而 MaaS 模式意味着，任何掏得起订阅费的初级攻击者都能批量收割这层数据。攻击者用分发渠道投票，选出的永远是投入产出比最高的目标——这一次，他们投给了 AI 代理。

对防守方来说，最刺眼的一个细节是：攻击者把「AI 配置文件」当成了一等公民来写采集逻辑。这意味着他们的 victims 画像里，AI 代理的存在感已经高到值得单独开发 harvesting 模块。安全团队的资产清单如果还没有 AI 客户端这一栏，落差不多止一步。

🕳️ MCP 变 C2：防御视角里的盲区协议

攻击者不需要攻破模型，只需要借用一条没人盯着的合法通道。

先做一个思想实验：在很多企业的 SOC 里，如果某台开发机的出站流量指向一个 AI 工具协议相关的端口，告警大概率会被当成误报关掉——毕竟那看起来只是「开发者在用 AI 写代码」。

这不是空想，而是已被实战验证的路径。据 CloudSEK 披露，一个俄语系 Gentlemen 勒索软件附属团伙在实时入侵行动中利用 MCP（Model Context Protocol）执行命令，把 AI 编码助手的工具接口变成了作战用的命令与控制（C2）通道。CloudSEK 是在调查一名自称 Azazel 的运营者暴露的基础设施时发现这一活动的；Azazel 还运营着独立泄露站点 LEAKNED，并被披露存在转移相关利益的行为。

产业逻辑其实很直白：MCP 的设计目标是让模型调用外部工具——长连接、白名单化、以出站为主。这些特征放在 C2 的选型清单里，近乎完美。更麻烦的是可见性：绝大多数终端安全产品目前既不理解 MCP 流量的语义，也不审计工具调用会话。可以想见，多数 SOC 第一次面对 MCP 相关告警时，本能反应就是两个字：误报。

一条被勒索组织在真实入侵中跑通过的通道，意味着其他团伙复制它的边际成本几乎为零。协议层的「默认可信」，很可能就是下一波 AI 安全事件的共同起点。这不是模型有没有被「攻破」的问题，而是整个 AI 工具链被当成了免费的基础设施。

🎯 猎场全景：黑产、勒索、APT 同框出现

当三类玩家在同一时间窗围绕同一片水域下钩，说明水里一定有鱼。

把最近公开的三条线索并排看：其一，Warden Stealer 代表的商业窃密军团，把 AI 代理数据做成了可订阅的商品；其二，Gentlemen 附属团伙把 MCP 武器化为 C2，用在了活体入侵中；其三，据 ESET 研究人员披露，APT 组织 FamousSparrow 推出了自己的新旗舰后门 SparroWocky。

三者战术定位并不相同——一个偷数据、一个借通道、一个做持久化——但放进同一张表里，趋势就藏不住了：

用一张四象限图把这些手法放在技术门槛与商业价值两个轴上看，结构会更清楚：

右上角的「MCP 滥用 C2」最值得警惕：它同时具备较高的技术含量和极高的作战价值，是典型的领跑者位置。而左上角的商业窃密虽然技术门槛不高，却因为 MaaS 分发而具备规模效应——这条产业链第一次把 AI 代理写进了作业手册。换句话说，AI 代理安全已经不再是「前瞻议题」，它同时被低端和高端攻击者验证了价值。安全预算的流向，通常滞后于攻击者的战术更新一到一个季度，这个时间差就是目前的窗口期。

🛡️ 把 AI 代理当超级员工来管

你的 AI 代理，是一个手握全部密钥、全天在线、且从未被背景调查过的员工。

再做一次心理实验：如果公司新来一位员工，第一天就拿到所有代码库访问权、所有 SaaS 的 API 令牌、还能调用一批内部工具，你会要求他走什么审批、接受什么监控？——绝大多数 AI 代理目前正处于这种「零审批」状态，而且它们 7×24 在线，从不下班。

从 Warden Stealer 的窃取清单和 CloudSEK 的实战案例看，风险集中在四类对象：AI 代理配置文件、本地令牌、对话数据库、MCP 设置。这四类恰好对应企业安全里最经典的四道旧防线——资产识别、凭据管理、数据加密与最小权限。问题不在没有解法，而在解法还没有被延伸到新物种上：

产业层面的判断是：身份与访问管理（IAM）行业花二十年建立的「人＋设备＋权限」模型，正在被「人＋设备＋AI 代理＋工具调用」的四元结构冲刷。AI 代理应该有自己的身份、自己的密钥生命周期、自己的会话审计——就像云时代每一台虚机都要进 CMDB 一样，每一个 AI 代理实例都应该进资产清单。防御侧不需要发明新东西，需要的只是把存量纪律延伸到新物种上。

在安全社区的私下讨论里，一个共识正在成形：2026 年的企业数据安全审计，大概率会把 AI 代理的使用情况纳入范围。到那时再补账，成本会比现在高一个量级。

小结

三个事件、三类玩家，共同宣告一件事：AI 代理的攻击面已经从 PPT 走进了作战手册。短期看，窃密与勒索会继续把 MCP、AI 客户端凭据当软柿子捏；中长期看，合规审计把 AI 代理纳入数据安全范围只是时间问题。对防守方来说，最重要的动作只有一个——从今天起，把你环境里的每一个 AI 代理，当成一个需要身份、权限和审计的真实主体来管理。协议可以默认可信，主体不能默认可信。