ARTICLE · 1306197

AI智能体攻陷GitBook、内鬼AI卷走63亿美元:智能体正在同时打开攻防两扇门

发布时间：2026-11-04 11:33:06 最近访问：2026-11-04 11:33:06

📌 3句话导读

币安初步调查报告披露63.4亿美元盗币案细节：假招聘、恶意Homebrew安装包，加上一台被劫持的内部AI工具，朝鲜黑客拿到了钱包签名权限。
GitBook证实遭“AI智能体”定向攻击、平台凭证泄露，同日国家发改委宣布将建立覆盖AI全生命周期的安全标准——攻击升级与监管落子发生在同一天。
Wiz披露10月至少9家AI开发平台沦陷，被盗密钥已被用于约250万次Bedrock API调用、烧掉10万美元——企业AI凭证管理是当下最直接的风险敞口。

⚔️ 攻击案例

案例1：一场假招聘，让“内鬼AI”亲手打开了币安的钱包

币安11月3日发布初步调查报告，还原了加密行业史上最大失窃案：攻击者先用假冒招聘人员发来的“编程考核任务”和被篡改的Homebrew（Mac常用软件包管理器）安装包入侵多名员工设备，再控制员工电脑上的内部AI工具，一步步摸到钱包签名服务的权限，最后借以太坊EIP-7702授权机制，在平台暂停提现后仍继续转账。美国联邦调查局（FBI）已将事件归因于朝鲜黑客组织。

关键数据

事件涉及约63.4亿美元数字资产，为加密行业史上最大失窃案
已冻结或拦截约28.5亿美元；截至10月31日，受影响代币资产已补足98%
攻击持续数月，10月29日完成资产转移；损失由平台自行承担，不转嫁客户

我们该做什么

对涉及下载安装包、运行“面试考题”代码的场景强制执行开发沙箱（容器内运行、禁外联），招聘类邮件附件一律先过静态+动态双引擎检测
内部AI工具与核心业务系统间做权限隔离：AI工具凭证不得具备钱包签名、资金操作等高危权限，关键操作需二次人工审批
热钱包私钥实行多重签名+限额管理，并审计EIP-7702等新授权机制的组合风险，防止“暂停提现”之外的旁路转账通道

📇 事件信息

事件时间	2026年10月29日事发；11月3日币安发布初步调查报告
涉事主体	受害方币安（Binance）；攻击方为FBI归因的朝鲜黑客组织
攻击手法	假招聘社工+篡改Homebrew安装包投毒→入侵员工设备→劫持内部AI工具获取部署凭证→渗透钱包签名服务→利用EIP-7702机制转走资产
造成的实际损失	涉及约63.4亿美元资产，已冻结/拦截约28.5亿美元，受影响代币资产已补足98%
核心风险点	内部AI工具成为横向移动跳板；新链上授权机制（EIP-7702）被用于绕过常规风控
攻防分类	攻击案例（AI工具被用于杀伤链横向移动环节）
信息来源	腾讯新闻（援引路透社/Cointelegraph）

案例2：凌晨2点，“AI智能体”对GitBook发起定向打击，MCP密钥全线告急

文档托管平台GitBook（大量加密项目的官方文档都放在上面）披露：攻击者利用AI智能体发起高度针对性攻击，于北京时间11月3日凌晨2时获取其部分基础设施凭证——集成令牌、Git Sync密钥、API令牌，甚至用户向GitBook Assistant（其内置AI助手）提问的内容都可能被读取。这是国内安全圈广泛报道的“AI智能体作为攻击者”的又一实锤案例：攻击本身由智能体自动化执行，而MCP（模型上下文协议，AI智能体连接外部工具的标准通道）服务器凭证则成了核心赃物。PancakeSwap已紧急下线其托管在GitBook上的文档。

关键数据

北京时间11月3日凌晨2时凭证失窃，当日23时21分服务恢复，处置耗时约21小时
可能泄露：集成令牌、Git Sync密钥、API令牌、AI助手问答记录；官方称未发现客户内容被篡改
官方已撤销所有个人API令牌、更换全部凭证，并要求用户重新认证MCP服务器

我们该做什么

立即盘点组织内所有MCP服务器、Git Sync、CI/CD集成令牌，执行一次全量轮换，并对MCP连接做设备/来源绑定
不要把高权限API令牌长期明文存放在文档、协作平台或环境变量里，改用短期令牌+密钥管理服务（KMS）动态签发
对AI助手类产品的用户输入侧做脱敏：敏感信息（密钥、内部域名、拓扑）禁止进入对话上下文，防止一次平台失陷变成下游连环失陷

📇 事件信息

事件时间	2026年11月3日凌晨2时（北京时间）攻击得手，11月4日公告广泛传播
涉事主体	受害方GitBook；下游受影响方PancakeSwap等托管文档项目；攻击方身份【待核实】
攻击手法	利用AI智能体发起高度针对性攻击，窃取平台基础设施凭证（集成令牌、Git Sync密钥、API令牌）
造成的实际损失	平台凭证与AI助手问答内容可能泄露，客户内容暂未发现被篡改；PancakeSwap临时下线文档
核心风险点	AI智能体被用作自动化攻击执行者；MCP服务器凭证成为高价值攻击目标
攻防分类	攻击案例（AI增强攻击实战——智能体自动化入侵）
信息来源	PANews（援引GitBook官方公告）

案例3：AI开发平台“黑色十月”：9家平台沦陷，你的大模型密钥正在替别人打工

NVIDIA已通知其Brev云开发平台客户：平台在10月4日至20日存在长达16天的未授权活动，为客户虚拟机配置的SSH密钥可能被访问。这不是孤例——云安全公司Wiz发布《AI开发平台的黑色十月》报告：仅10月就有至少9家AI开发平台（Northflank、Railway、OpenCode、Warp、Lightning AI、Zeabur、Fireworks AI等）发生安全事件，攻击目标高度一致：环境变量和AI访问凭证。多平台失窃密钥已被用于“大模型劫持”（LLMJacking，即盗用他人API密钥免费调用大模型），Wiz追踪到两起案例中攻击者用泄露的企业凭据向Amazon Bedrock发起约250万次API调用，产生约10万美元账单。

关键数据

10月至少9家AI开发平台发生安全事件；NVIDIA Brev未授权活动窗口长达16天
已确认的LLMJacking滥用：约250万次Bedrock API调用、约10万美元AI服务费用
Northflank多名客户报告AI API密钥已遭未授权使用；NVIDIA称暂未发现SSH密钥被滥用证据

我们该做什么

本周就对所有AI相关密钥做一次“暴露面盘点”：检查代码仓库历史、环境变量管理面板、CI日志中是否留存明文密钥，发现即轮换
在云厂商侧为AI服务设置预算告警与调用频率上限（异常调用曲线是LLMJacking最直接的信号），按项目/环境拆分密钥并配置最小权限
对开发平台托管的敏感配置默认视为“已泄露”做设计（零信任）：密钥放Vault/KMS，平台只存引用，不存值

📇 事件信息

事件时间	2026年10月（NVIDIA Brev暴露窗口为10月4日-20日）；Wiz报告10月30日发布，国内媒体11月3日集中报道
涉事主体	受害方NVIDIA Brev、Northflank、Railway、OpenCode、Warp、Lightning AI等至少9家AI开发平台及其客户；报告方Wiz
攻击手法	入侵AI开发平台，定向窃取环境变量中的AI访问凭证，实施大模型劫持（LLMJacking）或转售模型访问权限
造成的实际损失	约250万次Bedrock API盗用调用、约10万美元费用（已确认案例）；Brev客户SSH密钥可能被访问（已轮换）
核心风险点	AI开发平台集中存储高价值模型凭证，成为“密钥银行”；平台侧一次失陷即可造成下游连环滥用
攻防分类	攻击案例（模型窃取与推理链路滥用）
信息来源	快科技；安全内参（援引BleepingComputer/Wiz报告）

🛡️ 防御案例

案例4：乌镇首发的“双向AI安全”体系：AI换脸召回率99%，审核提速近3倍

11月3日，2026年世界互联网大会“互联网之光”博览会上，网易智企易盾首发基于双向AI安全架构（“AI for 安全，安全 for AI”）的AI原生安全产品体系，获大会“首发成果证书”。其核心判断是：安全必须从“管住AI说的话”走向“管住AI做的事”——用CMA内容审核智能体替代人海战术，用DeepGuard人脸鉴伪对抗AI换脸与摄像头注入攻击，用Agent Guard管控智能体的意图校验、权限控制与工具调用拦截。这套体系瞄准的正是案例1、案例2暴露的同一类问题：AI进入业务系统后的行为失控。

关键数据

DeepGuard人脸鉴伪通过中国信通院“可信AI”人脸鉴伪专项评测，获评“卓越级”；阶段性测试中屏幕翻拍、怼屏攻击召回率达99%
CMA审核智能体落地客户场景：月均250万+工单量下，平均出审时长从纯人工35.7分钟缩短至12.3分钟，审核准确率99.2%
短剧审核场景日审核量10万+分钟，审核效率提升70%+；获UbiComp 2026可信AI评测“敏感信息识别与隐私合规”赛道第一名

我们该做什么

参考其分层思路落地Agent安全：对智能体做任务级授权（一次任务一个临时凭证）、工具调用风险检测、操作确认与执行审计，不要给智能体长期高权限账号
人脸核验场景尽快升级到“活体+设备环境检测+AI鉴伪”多模态联合决策，重点防摄像头视频流注入（直接把伪造视频塞进数据管道，绕过纯软件活体检测）
审核与风控环节引入“AI初审+人工复核”闭环，并保留全量审计日志，让AI决策可回溯、可举证

📇 事件信息

事件时间	2026年11月3日（世界互联网大会“互联网之光”博览会首发）
涉事主体	防御方网易智企·易盾；评测方中国信息通信研究院
防御手法	双向AI安全架构——CMA审核智能体（AI驱动检测）、DeepGuard多模态人脸鉴伪（深伪检测）、大模型安全围栏+Agent Guard+智能体安全平台（智能体行为管控）
防御效果（量化）	人脸鉴伪召回率99%/精度96%（信通院专项评测“卓越级”）；审核时长35.7→12.3分钟，准确率99.2%；审核效率提升70%+
核心突破点	安全管控对象从模型“输入输出内容”扩展到智能体“执行行为”，覆盖意图一致性校验、工具调用拦截与供应链（Skill/MCP）安全检测
攻防分类	防御案例（AI驱动防御+深度伪造检测落地）
信息来源	网易；东方财富网（广州日报）

案例5：发改委定调：AI安全标准将覆盖“全生命周期”，模型厂商要主动上报安全事件

就在GitBook被AI智能体攻陷的同一天，国家发展改革委在11月3日“奋进‘十五五’”发布会上给出国家层面的答案：加快推进人工智能基础性综合性立法，建立覆盖人工智能全生命周期的安全标准和伦理准则，监管链条从“服务上线备案”延伸到数据、算力、算法全要素和研发、部署、运营全环节。配套设计包括分行业“监管沙盒”、过渡期安排，以及明确企业主体责任：开发者经营者须强化风险管理、主动披露安全风险、上报安全事件和漏洞。彭博社评价其为“全球范围内最全面的AI安全治理框架之一”，DeepSeek、月之暗面、阿里等主要模型厂商均在覆盖范围内。

关键数据

11月3日新闻发布会官方定调：“十五五”期间建立覆盖AI全生命周期的安全标准和伦理准则
治理链条覆盖数据、算力、算法三类共性要素+重点应用场景立法，并对制度实施开展周期性评估、动态调整
企业侧新增硬要求：主动披露安全风险、上报安全事件和漏洞信息；同步建设分行业AI“监管沙盒”

我们该做什么

模型/应用厂商应立即把“安全事件上报与漏洞披露”纳入内部应急响应流程，明确上报接口人、时限与模板，别等标准落地再补课
按全生命周期思路自查合规基线：训练数据来源说明、模型评测报告、供应链清单、运行监测与事件响应预案，提前准备可审计的证据链
关注沙盒申请机制：创新业务可申请进入监管沙盒获取试错空间，但同时要按沙盒要求预置风险缓冲方案

📇 事件信息

事件时间	2026年11月3日（国家发展改革委新闻发布会）
涉事主体	国家发展改革委（创新和高技术发展司副司长王若蒙）；适用对象为DeepSeek、月之暗面、阿里等国内模型开发商及全行业AI应用方
防御手法（政策层）	AI基础性综合性立法+全生命周期安全标准与伦理准则+监管沙盒+企业安全事件上报义务
防御效果（量化）	标准具体条款与执行时间表【待核实，官方尚未发布】；监管触点由“上线备案”扩展至研发、部署、运营全链条
核心突破点	国内AI治理首次明确覆盖数据、算力、算法全要素与模型全生命周期，并将企业“主动上报安全事件”列为责任义务
攻防分类	防御案例（国内AI攻防监管动态）
信息来源	腾讯新闻（北京日报）；新华财经/东方财富网；彭博社报道（经ChainCatcher转引）

📊 当日攻防研判

趋势判断：“AI智能体”正在同一周内同时扮演三个角色——攻击者（GitBook遭智能体定向攻击）、内鬼（币安案中被劫持的内部AI工具成为横向移动跳板）和高价值目标（9家AI开发平台的模型凭证被盗、遭LLMJacking盗用）。配合英国NCSC同日发布的《网络国家状况》报告（警告关键基础设施为2028年前AI驱动勒索攻击做好准备）与Bitdefender披露的英国学校遭“AI智能体循环”辅助勒索（近50台可达机器中37台被加密），可以判断：针对“AI工具链与智能体凭证”的攻击已从个案演变为成建制、有经济模式的产业行为，而监管与安全产业（发改委全生命周期标准、易盾/华为等Agent安全产品）正同步进入密集落子期。

▍可落地防护建议

本周必做——AI凭证全量轮换与限流：盘点组织内所有大模型API密钥、MCP服务器凭证、开发平台环境变量，统一轮换一次；在云厂商控制台为每类AI服务设置预算告警+调用频率上限，按项目拆分密钥，异常调用曲线可直接暴露LLMJacking。
架构层——给智能体“最小权限+临时身份”：智能体一律使用任务级短期凭证（任务结束即失效），禁止复用员工账号或长期管理员密钥；对工具调用启用白名单+风险检测（如易盾Agent Guard类方案或自建调用审计），高危操作（转账、删库、签发凭证）强制二次人工确认。
流程层——给AI测试与内部工具上“双保险”：参考Irregular Security配置失误导致四大模型厂商沙盒逃逸事件的教训，任何AI工具接入生产网前执行隔离核验清单（网络隔离、凭证范围、外联白名单），并在安全评估流程中加入“配置项双人复核”；同时按发改委最新要求，把安全事件上报流程写入应急响应预案。