你信任的 AI 编程工具,也成了攻击者的帮手

让 AI 帮忙改代码、装依赖、跑命令，省下的是操作时间，交出去的则是电脑上的权限。这些权限，也可能被攻击者借用。

2026 年 11 月 4 日，Elastic 发布的《threats, etc》安全季报，记录了两起值得 AI 编程用户关注的入侵案例。

一起发生在 Windows 上：攻击者经远程桌面操作 Claude Code 的 VS Code 扩展，调用 PowerShell 等工具建立代理隧道，连接可疑服务器。

另一起发生在 macOS 上：报告称，ChatGPT 桌面端被当作执行命令的通道，先读取内部基础设施文档，再调用系统工具访问登录钥匙串。

受信任的软件，也能执行危险的操作。 这两例展示的是攻击者如何利用 AI 工具执行命令，不能据此推断普通用户安装软件后就会自动遭到入侵。

对用 AI 写代码的人来说，值得调整的是授权习惯：

• 按任务给权限。
   改一个项目，就把读写范围限定在这个项目；涉及执行命令、访问额外目录时，保留必要的确认。
• 陌生项目先看启动配置。
   自动任务、会话启动脚本和插件配置，都应检查来源与执行内容；试跑时使用隔离环境，避免带入正式密钥。
• 异常操作要追问用途。
   修改页面为什么要读取钥匙串？安装依赖为什么要建立外部隧道？出现这类偏离任务的动作，应先停下核查。

自建 AI 服务的用户，还要留意服务本身的漏洞。IBM 公告确认，Langflow 1.0.0–1.12.8 存在鉴权绕过、代码执行等问题，修复基线为 1.13.0；11 月 4 日发布的 1.13.1 又补充了安全修复。升级前应备份数据并准备密码登录，暂时无法升级时先收紧外部访问。

AI 能替人完成的操作越多，授权就越需要具体：允许它处理哪些文件、连接哪些服务、执行哪些命令。每一次扩大权限，都应有一个说得清的任务理由。