网络安全观察日报｜信任正在被变现

一、开篇暴击：今日最荒诞的一幕

今天最讽刺的新闻，来自 DarkReading 报道的一起在野攻击：黑客把恶意指令藏进一份再普通不过的 Markdown 文档，AI Agent 读了一遍，然后乖乖照办。

看到这条，我差点笑出声。

过去十年，整个行业烧掉几百亿美元，教会人类一件事：别乱点链接、别开陌生附件、别信陌生邮件。培训、钓鱼演练、安全意识月，轰轰烈烈。结果呢？人类的警惕性终于拉满之后，我们亲手造了一批天生不会怀疑的机器，然后让它们替我们读邮件、看文档、调工具。

人被训练得不再上钩，于是鱼钩直接改挂给了 AI Agent。这些Agent没有童年阴影、没有安全培训、没有'这看着不对劲'的直觉——它们只有一个信念：文档里写的就是让我干的。

这就是今天安全行业的黑色幽默：我们花十年把最薄弱的环节加固了，然后把钥匙交给了最天真的新员工，还给它起了个酷名字，叫智能体。

二、最被高估的事：SBOM，合规界的安慰剂

今天 DarkReading 那篇文章把话说得已经很直白了：SBOM 根本无法揭示供应链攻击的真实范围。但很多厂商和监管者还在继续吹，仿佛给每个软件发一张'配料表'，供应链安全就万事大吉。

醒醒吧。

SBOM 的逻辑缺陷是结构性的：它记录的是'声明过的依赖'，而攻击者最爱走的恰恰是'没声明的路'。构建缓存里的幽灵依赖、被 typosquatting 混进来的包、运行时才拉取的组件、维护者账号被盗后的恶意更新——这些东西在 SBOM 上一个都看不见。你拿着一张 meticulously 整理的清单，对着一间早就被搬空的仓库清点。

更讽刺的是 SBOM 已经异化成什么：它不是安全工具，是合规道具。采购方要，投标要，监管要，于是团队用自动化工具生成一份几千行的 JSON，存进网盘，然后所有人继续用着没人在意 npm install 拉回来什么。清单越厚，安全感越假。

这不是说 SBOM 没用——它是必要条件，但离充分条件差着十万八千里。把 SBOM 当作供应链安全的'完成态'，就像体检报告正常就宣布自己百毒不侵。真正的供应链安全在构建管道的完整性、发布签名的强制度、异常依赖的实时监测里——那些费劲、烧钱、不好写进 PPT 的部分。

可惜 PPT 只需要配料表。

三、最被忽视的事：开发者工作站，安全版图上的无人区

今天还有两条同样9分、8分级的报道，讨论热度却远配不上它们的分量：'Gheist' 利用 GitHub 令牌窃取云端密钥，'Aokigahara' 窃密木马专门盯着开发者的钥匙串和 AI 助手。

这两件事放在一起看，画面相当清晰：攻击者的主战场已经从财务电脑，悄悄搬到了程序员的 Mac。

逻辑太好懂了。财务部的电脑里有啥？几张报表。开发者电脑里有啥？GitHub 令牌、云厂商的长期访问密钥、签名证书、内网凭据、生产环境配置，现在还加上了 AI 助手的会话和历史——那里面可能躺着半个公司的架构秘密。开发者机器就是一座没有保安的钥匙库。

而企业的终端安全在这些机器上恰恰最松：开发者有本地 admin 权限（不然没法干活）、会关掉碍事的监控（不然没法干活）、装各种来路不明的 CLI 工具（不然……你懂的）。安全团队和开发团队围绕 endpoint 监控的拉锯战，开发永远赢。

Gheist 走的是令牌滥用路线——偷到 GitHub token 不用破解任何东西，直接以'合法用户'身份平移进云上资产。Aokigahara 更狠，直接翻钥匙串、翻 AI 助手数据。令牌即身份，钥匙串即 perimeter——这个现实，大部分企业的 IAM 策略和 EDR 部署图都还没承认。

什么时候承认？大概是第一次因为一台 MacBook 丢了一个 org。

四、最值得警惕的事：我们正在批量生产'不会思考的安全工程师'

今天 DarkReading 有篇文章标题起得像恐怖片：《Beware the Slasher：AI 可能杀死安全从业者的技能》。我觉得它低估了自己——这不是恐怖片，是纪录片。

正在发生的事：告警分诊交给 AI，报告初稿交给 AI，代码审计交给 AI，应急响应 playbook 让 AI 排。效率确实上去了。但有个残酷的生理事实——不用的能力会萎缩。老一辈分析师徒手读 pcap、靠肌肉记忆识别异常的本事，是上千次实战喂出来的。新一代安全工程师的'实战'，是对着 AI 输出点'采纳'。

平时没事，出事就是大 complication：AI 挂了怎么办？AI 自信满满地给了错误结论怎么办？更糟的是，AI 被投毒了怎么办？——回到今天开篇那条新闻：攻击者已经证明了能操纵 AI 的输入。如果你的整个分析链条跑在一个可被操纵的系统上，而人类操作员早已丧失独立验证的能力，这不是安全体系，这是单点故障的自我陶醉。

叠加上另一篇报道里谈的 CISO 个人责任风险，画面更完整了：签字担责的还是人，但判断已经外包给了机器。出了事，律师问你'为什么采纳了这个结论'，你的回答是'AI 说的'？

AI 应该是放大器，不是替代品。用放大器的前提是你自己得先有声——哑巴拿一万瓦的功放，输出的还是沉默。

五、数据说话

把今天的新闻串起来，就是上面这条完整的攻击链：噪音开路（邮件轰炸）、信任渗透（Teams 外部聊天）、身份收割（GitHub 令牌与钥匙串）、平移上云，最后在两个'人类盲区'收尾——SBOM 看不见的暗面依赖，和被 AI 喂到退化的分析师。攻击者不需要击穿任何一堵墙，只需要沿着我们亲手铺好的信任管道走到终点。每一段单独看都是'低危'，连起来就是全线失守。这就是 2025 年的攻防真相：漏洞越来越难找，但信任越来越好卖。

今日一针：安全建设最大的幻觉，是以为信任可以批发——发给 Agent、发给令牌、发给清单。攻击者用今天的新闻告诉你：信任只能零售，而且每一个都要人签字。