你的AI编程助手在偷偷埋雷:一份开发者安全自查清单

这个漏洞的 CVE 编号还没分配，补丁已经出了。但我今天想聊的不是这一个漏洞。

一个月前，另一家安全公司 Tenet Security 用一个公开的 Sentry DSN——就是前端 JS 里随处可见的那个——伪造了一条错误报告。开发者的 AI 编程助手通过 MCP 读到这条“错误”，自动化地执行了攻击者藏在里面的 `npx` 命令。测试成功率 85%。2388 家组织的 Sentry DSN 暴露在公网上。

这不是一两个漏洞的问题。AI 编程 Agent——Claude Code、Cursor、GitHub Copilot、Codex——正在从一个“代码补全工具”变成“拥有你机器完整权限的自动化工程师”。GitHub 上的一项大规模研究发现，AI 协同编写的 PR 包含的缺陷是纯人工 PR 的 1.7 倍，安全漏洞多了 2.74 倍。约 48% 的 AI 生成代码包含安全漏洞，即使它通过了 lint 和测试。

安全工具的集体爆发证明了需求是真实的。2026 年 10 月 1 日，同一天里，StackHawk 发布 Wingman（AI 代码安全修复工具），DeepKeep 发布 AI Lens for Developers（编程 Agent 行为监控）。两个产品解决的是同一个问题：代码在从 prompt 到 production 的路上，人类审查的时间窗口消失了。

这篇文章是一份实操清单。10 条，每一条都能今天落地。

多数开发者对 AI 编程工具的感知还停留在“写写代码、补补全”。但 2026 年的编程 Agent 已经在做这些事情：

文件系统：读、写、删除你项目目录下的任意文件。不只是源代码——配置文件、环境变量文件、密钥文件都在它的可读范围内。

Shell 命令：执行任意终端命令。`npm install`、`git push`、`curl` 到外部 API。很多 Agent 默认配置下，这些操作需要人工确认。但确认疲劳是真实存在的——当你第 50 次点“允许”时，你还会读那条命令吗？

MCP 工具调用：Model Context Protocol 是 AIAgent 连接外部服务的标准协议。你的 Agent 可以查询 Sentry 错误、读取 Jira 工单、操作数据库、调用云服务 API。问题在于——MCP 返回的数据被 Agent 当作“可信系统输出”，而不是“外部输入”。攻击者只要污染 MCP 返回的数据，Agent 就会基于它做决策。

包管理：`npm install`、`pip install`、`cargo add`。Agent 推荐一个包，你点了允许，代码就跑起来了。但这个包名可能不存在——AI 幻觉出来的。攻击者可以抢注这个名字，上传恶意代码。这叫作 HalluSquatting，不是理论攻击。

网络访问：部分 Agent（如 Claude Code 的新版 in-app browser）还能访问网页。这意味着 Agent 的输入面扩展到了整个互联网。

一句话总结：你的编程 Agent 是一个拥有你身份和权限的自动化进程，它的决策依据来自多个你无法完全控制的数据源。

与其列概念，不如看案例。下面四个攻击都发生在 2026 年。

1. MCP 模板注入：Serena RCE

GitLab 威胁研究团队 2026 年 8 月披露。Serena 是一个流行的 MCP 编程 Agent，可以让 Claude、Cursor 等助手连接本地代码库，提供语义导航和重构能力。

漏洞细节：Serena 允许项目通过 `.serena/project.yml` 定义自定义“模式”（mode），每个模式有一个 `prompt` 字段，会被注入到 LLM 的系统提示中。Serena 用 未沙箱化的 Jinja2 渲染这些模板。攻击者只需在项目配置中放进 Jinja2 的模板注入 payload，开发者打开项目的瞬间，代码就运行了。

更致命的是：Serena 本身有一个 `trusted_project_path_patterns` 信任机制，用来阻止不受信任的项目执行代码。但模板注入路径绕过了这个信任检查。信任机制防住了正门，侧门开着。

影响版本：serena-agent ≤ 1.6.1。补丁：升级到 1.7.0（切换到 Jinja2 SandboxedEnvironment）。

教训：项目配置文件应该被视为来自潜在恶意仓库所有者的输入。验证它们，像验证 HTTP 请求体一样。

2. Agentjacking：伪造 Sentry 错误的链式攻击

Tenet Security 2026 年 6 月披露。攻击原理极其简单：

成功率 85%。失败的 15% 是因为 Agent 在运行不熟悉的 npx 命令前问了确认——不是因为它识破了攻击。

Sentry 收到报告后说这是“技术上不可防御”的平台层问题，只做了针对性内容过滤，拒绝了根因修复。

教训：任何 MCP 连接的外部数据源，只要第三方可以写入，就是注入路径。Datadog、PagerDuty、Jira——同样的模式。

3. GhostSplice：把恶意指令拆成碎片

ASSET Research Group 2026 年 8 月披露。常规的提示注入会被安全过滤器拦截。但如果把攻击指令拆开呢？

一个 MCP 服务器提供了一个看起来无害的 `integrity_checker` 工具，有四个无害参数 `alpha`、`beta`、`gamma`、`delta`。工具描述里没有任何敏感文件名。但随后的一次“项目扫描结果”中，增加了映射：alpha 对应对 `.ssh/id_rsa` 的内容，beta 对应 `.env`，gamma 对应 `customers.csv`……

Agent 在上下文中把两个来源的信息拼在一起，自动读取了这些文件，把内容作为“哈希校验参数”发回了攻击者服务器。

三个独立的交互，每一个看起来都没问题。Agent 自己把它们组装成了数据外泄链路。

4. HalluSquatting：抢注 AI 幻觉出来的包名

AI 推荐的包名不一定是真实存在的。攻击者可以监控那些 AI 常推荐的“看起来合理的包名”，抢注它们，上传恶意代码。

这个故事不需要 0day 漏洞。它需要的是开发者习惯性地 `npm install` AI 推荐的东西。

以下 10 条按实施难度排序，从今天就能做的到需要团队配合的。每一条针对上面至少一个攻击路径。

第 1 条：关闭自动执行，强制人工确认

针对：Agentjacking、HalluSquatting、GhostSplice

怎么做：

效果：Agent 执行 shell 命令或安装包之前弹确认框。如果这个弹框就发生在 Agent 读取了外部数据之后——多看一眼。

但要知道：确认弹框不是银弹。Tenet 的测试中，Agent 即使被系统提示明确告知“不要信任 MCP 数据”，仍然在 85% 的情况下攻击成功。确认疲劳会让开发者麻木——所以这条只是第一道防线，不能只靠它。

第 2 条：限制文件系统访问范围

针对：Serena RCE、数据外泄

怎么做：

为什么有效：即使 Agent 被注入，它能触及的数据也大大减少。Serena 的攻击威力正来自于“等同于开发者权限”的完整文件访问。

第 3 条：验证 Agent 建议的包名

针对：HalluSquatting

怎么做：

规则：

成本：每次 `npm install` 前多 3 秒。你写的代码可能需要拼，安全这件事不用拼。

第 4 条：审计你的 MCP 连接

针对：Agentjacking、MCP 工具投毒、GhostSplice

怎么做：

Step 1 — 列出所有 MCP 连接

Step 2 — 对每个 MCP 连接问三个问题：

Step 3 — 清理

这是一条优先级最高的检查项。Agentjacking 和 GhostSplice 都依赖 MCP 信任边界这个前提。

第 5 条：用 `AGENTS.md` 设定安全边界

针对：所有攻击路径

怎么做：在项目根目录创建 `AGENTS.md`（Claude Code 自动读取）或 `.cursorrules`（Cursor 读取），写入：

为什么有效：Agent 会把这个文件作为系统指令的一部分加载。虽然 Tenet 的测试表明系统指令不能完全阻止攻击，但它增加了防御层——在 Agent 的决策路径上多一道提醒，至少让 15% 的“问确认”变成 30%。

第 6 条：审查 AI 代码的三个新焦点

针对：AI 代码缺陷率 1.7 倍

TianPan.co 的分析指出，AI 代码的 Bug 类型和人类代码不同。人类在局部细节上出错（拼写、忘记判空）；AI 在全局一致性上出错（调用了不存在的 API、忽略错误、硬编码配置）。你的代码审查需要调整焦点。

三个新审查重点：

1. 幻觉 API 调用：Agent 调用了一个根据库习惯“看起来应该存在”但实际不存在的方法。在动态语言（Python、JavaScript）中，编译时不会报错，运行时才炸。

在 Rust、TypeScript 这类语言中，这个问题少很多——编译器替你挡了。

2. 边界情况缺失：AI 的 happy path 实现非常完整。错误处理、重试、超时、频率限制——经常是 `# TODO` 或硬编码占位符。

3. 过度抽象：AI 引入了一个 Helper 类或工具函数，对一个不需要抽象的简单逻辑做了封装。增加了间接性，没有增加价值。这是训练数据里“优秀代码”的模式被错误地应用。

实操建议：代码审查时，在“AI 代码接触已有系统”的地方投入最多时间——函数调用现有服务、读取共享缓存、写入已有 schema 的表。这些是 AI 在上下文窗口里看不到的约束。

第 7 条：沙箱化 Agent 执行环境

针对：Serena RCE、Agentjacking、权限提升

怎么做（按投入程度递进）：

如果暂时做不到沙箱：至少确保 Agent 以最小权限用户运行。不要用 root，不要用有 `sudo` 权限的账户。

第 8 条：MCP 工具定义哈希锁定

针对：MCP 工具投毒（CVE-2025-54136, CVSS 8.8）

2025 年 7 月，Check Point 发现 Cursor IDE 的一个漏洞：开发者批准 MCP 配置后，Cursor 不会在后续启动时重新验证工具定义。攻击者可以先提交一个干净的配置，等开发者批准后，再替换成恶意配置。

怎么做：

大多数 Agent 目前不提供这个功能。如果你用的是企业 MCP 网关，这个能力应该由网关层提供。如果你是自己管理 MCP 连接——至少要知道你连接的服务有没有悄悄变过。

第 9 条：分离开发和日常账户

针对：凭据泄露（所有攻击路径的最终目标）

AI 编程 Agent 能访问你当前用户的所有文件。如果你用同一个账户既做开发又做日常使用（浏览器、邮件、聊天软件），Agent 的暴露面等同于你整个人。

怎么做：

现实一点说：大多数个人开发者不会立刻做这个。但如果你的 Agent 连接了公司的 Sentry、Jira、GitHub Organization——你应该做。

第 10 条：配置 Agent 安全演习

针对：综合防护验证

腾讯朱雀实验室 2026 年发布了一个开源 SKILL：A.I.G 安全演习。一句话触发：“帮我进行安全演习”——它会模拟攻击场景，测试你的 Agent 配置是否存在已知漏洞模式。

输出一份报告，包括：

这相当于给你的 Agent 做一次安全体检。不需要你是安全专家。

如果你想要更强的防御，StackHawk Wingman（$10/月/用户）和 DeepKeep AI Lens 是两个刚上线的商业化工具。Wingman 自动扫描 Agent 写的代码，找到漏洞后不是开 ticket——是直接让写代码的那个 Agent 修掉，然后重新扫描确认。在早期客户中修复了 7,500+ 个漏洞，98% 没有回归。

如果你只有 15 分钟，按这个顺序做：

写完这 10 条，我想问一个更底层的问题。

MCP 协议把外部工具的元数据（工具描述、参数 schema）和返回数据，交到了 AIAgent 的手里。Agent 被训练成“相信这些信息”——它们是有意接入的、经过选择的工具。

但 MCP 没有提供任何机制来区分“管理员配置的工具描述”和“攻击者注入的工具描述”。CVE-2025-54136 的修补只解决了 Cursor 这一个产品的问题。协议的信任假设没变。

Tenet Security 刚融了 600 万美元做“Agent 防火墙”。StackHawk 觉得答案是在 Agent 写代码时就检查出来。DeepKeep 觉得答案是在 Agent 行为层监控。

这个问题还没有标准答案。但它不会自己解决——因为编程 Agent 的能力只会越来越强，接入的外部数据源只会越来越多。

你现在能做的，就是确保当答案出现的时候，你的 Agent 不是那个已经被攻破的。