你的 AI 助手，正在被当成攻击入口

过去两年，所有人都在讨论 AI 能替你写多少代码。但 2026 年的安全事件链条正在把话题拉回另一个方向：AI 智能体正在成为攻击者的首选入口。

从 GitHub Copilot CLI 被曝出加密提示注入攻击，到 Anthropic 主动向认证红队放开 Claude 的进攻性安全能力，再到国内漏洞库短期内采集 OpenClaw 155 个漏洞——三个看似孤立的事件，指向同一个产业判断：智能体的运行时环境，就是新一代的「终端」。谁控制了它，谁就控制了你的密钥、你的数据、甚至你的身份。

这篇文章，我们把这个正在成形的攻击面拆开看。

🔐 加密提示注入：把恶意指令藏进保险箱

一句金句开场：最好的伪装，不是让指令看起来无害，而是让它看起来根本不像指令。

先讲攻击链条。安全公司 Adversa AI 披露了一种针对 GitHub Copilot CLI 的攻击技术，命名为密码学上下文注入（Cryptographic Context Injection，CCI）。思路相当刁钻：攻击者搭建一个受控网页，在页面中埋入加密后的恶意指令。当开发者的 Copilot CLI 代理在执行任务过程中抓取该网页内容时，编码代理会「好心地」调用自身能力去解密这些内容——解出来的，是让代理在运行时环境中执行恶意操作、窃取开发者密钥的指令。

也就是说，加密这个原本用来保护数据的手段，在这里被反转成了绕过提示注入检测的工具。传统的提示注入防护多依赖内容审查、模式匹配，而 CCI 让检测层看到的只是一段无害的密文，真正的载荷在代理自己的解密动作之后才显形。防线被部署在了错误的层级上。

用一张图还原这个攻击链：

这个案例的价值不在于单个漏洞本身，而在于它揭示的结构性问题：智能体的能力边界越宽，提示注入的杀伤半径就越大。 一个只会聊天的模型被注入，最多输出垃圾内容；一个能读文件、调终端、访问密钥管理器的 CLI 代理被注入，就是一次完整的入侵。Copilot CLI 的场景恰恰把模型能力和开发者本机的高价值资产（API 密钥、代码仓库凭证、部署凭证）放在了同一个运行时里。

据多位接近安全社区的从业者私下聊，这类「代理侧攻击」目前普遍被企业低估——大家的安全预算还在围着传统的 WAF 和 EDR 转，很少有人给「AI 代理的上下文完整性」单独立项。CCI 证明了这个盲区的代价可能是整台开发机的凭据失守。

产业判断也很直白：Agent 安全不是「大模型应用安全的子集」，而是一类新的攻击面，需要独立的威胁建模——上下文来源可信吗？解密动作该不该由代理自动完成？工具调用要不要最小权限？这些问题，现在大多数团队连问都没问过。

🕵️ Anthropic 放开红队：能力释放的另一种姿势

一句金句开场：进攻能力的定价权，正在从黑客市场转移到模型厂商手里。

2026 年 10 月 6 日，Anthropic 宣布扩展其网络安全验证计划（Cyber Verification Program，CVP），向经过审核的安全专业人员开放更少限制的 Claude 高级安全能力。这次调整把原有的验证计划和 Project Glasswing 整合为三个访问层级：防御性分析、授权的进攻性测试、以及敏感基础设施评估。

用一张表看清楚分层逻辑：

这是 AI 安全产业里一个值得认真对待的信号。过去两年，头部模型厂商在网络安全能力上一律采取保守策略——遇到攻击性请求就拒答。但现实是，防御者的工具落后于攻击者，本身就是一种风险。Anthropic 的做法相当于承认：与其让进攻能力在黑市灰市里野蛮生长，不如建立一个认证通道，把能力交到有授权、可审计的人手里。

同一时间线上还有另一条线索。4 月 7 日，Anthropic 正式发布顶级安全大模型 Claude Mythos Preview，官方定位仅限科技巨头定向测试。一个模型产品线，同时向内（巨头定向测试）和向外（认证红队）两个方向释放安全能力，这不是产品动作，是战略卡位：谁的安全模型被蓝军红队同时认可，谁就拿到企业 AI 安全市场的入场券。

据多位接近厂商的人士观察，安全团队选型时最在意的已经不是通用基准跑分，而是「模型敢不敢帮你读恶意样本、能不能稳定输出攻击链推理」——这些恰恰是通用模型被限制得最死的能力。Anthropic 显然先一步看到了这个空档。

当然，这套分层模式也带来新的拷问：认证门槛由厂商单方面制定，「授权」的验证是否足够硬？一旦能力经由认证通道外溢，责任如何划分？这些问题目前没有标准答案，但可以确定的是，模型厂商正在从「安全责任的回避者」变成「安全能力的分发者」，角色转变本身就需要新的治理框架。

⚠️ 词元与漏洞：攻击面已经在现实中变现

一句金句开场：监管机构的风险提示，往往滞后于攻击者的实践，但也往往说明问题已经大到不能不说。

把视线拉回国内。国家安全部发布提醒，聚焦「囤词元暴富」背后的陷阱：不法分子通过跨站脚本攻击（XSS）、公共 Wi-Fi 嗅探等方式，窃取、截获未加密的词元（Token）。词元一旦泄露，攻击者可以直接盗用用户身份，获取隐私信息、登录账号、篡改数据，甚至实施诈骗转账。

这段表述值得逐句读。它说明两件事：第一，AI 会话凭证已经进入国家级安全机构的视野，被明确类比为一种需要保护的敏感资产——这在两年前是不可想象的；第二，「未加密」三个字暴露了当前 AI 应用开发的普遍短板，大量应用把 Token 当普通配置项处理，明文存储、明文传输、长期有效，安全水位远低于它实际代表的权限。

更大的压力来自开源侧。根据国家信息安全漏洞库 CNNVD 的通报，自 2026 年 3 月 10 日至 4 月 2 日，不到一个月时间共采集 OpenClaw 漏洞 155 个，其中超危 11 个、高危 53 个，覆盖访问控制错误、代码问题、路径遍历等多个类型。

用图表直观感受一下严重程度的分布：

一个热门开源 AI 项目，二十多天被采集 155 个漏洞，超高危占比超过四成。这背后的产业逻辑并不复杂：开源 AI 工具的迭代速度，远超社区安全审计的承载力。 功能两周一个版本，代码审计按月排队，结果就是漏洞积压。而这类工具恰恰部署在最敏感的位置——能读文件、能执行命令、手里攥着各类凭证。访问控制错误和路径遍历排在漏洞类型前列，几乎就是「智能体权限设计失控」的直接证据。

再叠加 Jamf 发布的 2026 年安全报告——苹果 Mac 平台木马恶意软件占比从 2024 年的 16.61% 暴增至 50.32%，窃取用户隐私成为主要目的——终端侧的威胁形态也在向「数据窃取」收敛。攻击者要的不再是勒索一台机器，而是顺藤摸瓜拿到凭证和词元，把攻击面延伸到云端和 AI 服务。开发终端、开源工具、会话凭证，三者正在构成一条完整的窃取链路。

📏 标准与合规：补课已经开始

一句金句开场：技术跑在前面，标准追在后面，安全就欠在中间。

好消息是，监管层面的补课动作已经启动。全国网络安全标准化技术委员会正式组建「人工智能安全标准工作组」（WG9），标志着我国人工智能安全标准体系建设进入系统性推进阶段。

这个动作要放在前面几条新闻的背景下理解。当加密提示注入可以在 Copilot CLI 里窃取密钥、当词元泄露被官方定性为身份盗用风险、当开源 AI 工具短期内爆出上百个漏洞，说明 AI 安全的问题已经从「模型会不会说错话」升级为「智能体会不会替攻击者干活」。这类问题无法靠单点产品解决，需要的是一套覆盖数据、凭证、代理权限、供应链的系统性规范——这正是标准体系要填的空。

把这一轮事件串成时间线，节奏感会更清晰：

半年的时间跨度里，攻防两侧和监管侧几乎同步提速。企业侧需要明白的是：这套体系一旦成型，AI 应用的安全要求将从「建议」变成「底线」。词元管理、代理权限、上下文完整性、开源组件漏洞响应，大概率都会进入合规检查清单。现在提前把 Copilot CLI 这类代理工具的运行时权限收紧、把会话凭证纳入密钥管理体系、对引入的开源 AI 组件建立漏洞跟踪，成本远低于事后补救。

对厂商而言，标准化的另一面是市场机会。WG9 的组建意味着 AI 安全将从「卖点」变成「必选项」，检测提示注入、管理代理权限、保护会话凭证的工具品类，会在未来一两年从边缘走向主流采购目录。据业内流传的说法，已经有安全厂商在针对「代理运行时防护」立项——这个方向今天看还偏门，明天可能就是标配。

小结

回到开头的问题：AI 助手为什么成了攻击入口？因为它集中了三样攻击者最想要的东西——能力（能执行操作）、凭证（能访问系统）、信任（用户默认它无害）。CCI 攻击利用了第三样，词元窃取利用了第二样，OpenClaw 的漏洞集合利用了第一样。三者叠加，构成了智能体时代的完整威胁模型。

Anthropic 的分层开放、WG9 的标准推进，说明产业链上下游都已经意识到问题。但标准的成文和落地需要时间，而攻击者不会等。对每一个正在把 AI 代理接入生产环境的团队，眼下最务实的一句话是：把你的 AI 助手，当作一个刚入职、还没做背景审查、手里却拿着全部钥匙的新员工来管理。 这不是危言耸听，这是 2026 年安全行业给出的最新基线。