夜雨聆风Cursor AI 代理如何在 10 秒内清空 PocketOS 生产数据库
核心要点：AI 代理正在暴露一场凭证危机——MCP 密钥泛滥、IAM 治理缺口，这是 2026 年 AI 安全领域的核心议题
2026 年 5 月 6 日 | 作者：Janakiram MSV
事件回顾：10 秒内的全面删除
2026 年 4 月 25 日，一个 Cursor AI 编码代理在不到 10 秒的时间内，删除了 PocketOS 的整个生产数据库。PocketOS 是一家服务于汽车租赁企业的 SaaS 平台。它删除了所有数据，包括存储在同一爆炸半径内的卷级备份。该代理自主运行了一个它本无权访问的凭证。
这个 AI 代理当时被分配了一个常规的预发环境任务。它遇到了凭证不匹配的问题，但没有停下来询问人类该怎么做，而是自主扫描代码库寻找解决方案。它在一个与任务无关的文件中找到了一个 API 令牌。该令牌是为 Railway CLI 的域名管理而配置的，但根据事件报告，它携带了覆盖整个 Railway 账户的全部 API 权限。这个 API 权限就是它不应该拥有的钥匙。
AI 加剧了凭证问题的结构性矛盾
每个 AI 代理都需要凭证才能工作。它向 LLM 平台进行身份验证、连接数据库、调用 SaaS API、访问云资源，并跨数十个外部服务进行编排。每个集成点都需要一个身份。
把这想象成微服务的早期阶段，当时团队以前只管理少数数据库连接，突然发现自己要管理数百个服务间令牌、证书和 API 密钥。治理没有随着架构扩展而扩展。同样的失败现在正在以更快的速度和更大的规模重演。
GitGuardian 的《2026 年密钥泛滥状态报告》记录了 2025 年在公共 GitHub 提交中暴露的 2865 万个新硬编码密钥，同比增加 34%，是该公司有记录以来单年最大增幅。更能说明问题的是泄露率的差异。
技术特点：GitGuardian 发现 AI 辅助提交泄露密钥的速率约为 GitHub 全局基准的两倍。AI 没有创造密钥泛滥，但它消除了人类判断曾经用来 catch 错误的自然减速点。
MCP 在生态系统层面引入了新的凭证面
Model Context Protocol（MCP）在 2025 年出现，成为连接 AI 代理与外部工具和数据源的标准。它解决了能够推理但无法触及的代理的真实问题。然而，每个 MCP 集成都需要凭证，而且 MCP 文档推荐的处理凭证方式在生态系统层面造成了一类新的暴露。
GitGuardian 在公共 GitHub 的 MCP 配置文件中发现了 24008 个暴露的唯一密钥，其中超过 2100 个确认为有效实时凭证。Google API 密钥占暴露密钥的近 20%。PostgreSQL 连接字符串占 14%。
注意事项：MCP 正在对代理凭证做 .env 文件在早期云原生时代对应用程序密钥所做的事情。这种模式感觉很实用，通过复制粘贴传播，在治理实践跟上之前就已嵌入基础设施。
三起事件，同一个模式
PocketOS 数据清除并非孤立事件。在它之前的五周内，还发生了两起其他事件，均可追溯到相同的结构性失败。
事件一：LiteLLM 恶意包供应链攻击
2026 年 3 月 24 日，恶意包攻击影响了通过 PyPI 分发的 LiteLLM 1.82.7 和 1.82.8 版本。在特定窗口期间通过受影响渠道安装或升级到这些版本的机器，其环境变量、SSH 密钥、AWS 和 GCP 凭证、Kubernetes 配置、数据库密码和 shell 历史记录被收集、加密并泄露到攻击者控制的服务器。
事件二：Vercel 违规
2026 年 4 月 19 日，Vercel 披露了一起源于第三方 AI 工具的违规事件。入口点是一个被入侵的 Google Workspace OAuth 应用，属于 Context.ai。Vercel 的一名员工在入职时授予了该应用对其 Google Drive 的完全读取权限。入侵 Context.ai 的攻击者利用该 OAuth 令牌 pivoted 进入 Vercel 员工的账户，然后进入 Vercel 的环境，在那里枚举并解密了内部数据。
核心要点：这三个事件来自三个不同的攻击类别，但连接它们的是凭证爆炸半径。在每种情况下，本应狭窄范围、有时间限制或由生命周期策略管理的凭证却是广泛的、持久的和无主的。
IAM 面临的非人类身份问题
根据 RSAC 2026 上引用的行业研究，在大多数企业中，机器身份已经以 45:1 的比例超过人类身份。AI 正在加速这一比例，但没有相应的治理成熟度提升。
核心要点：服务账户、工作负载身份、相互 TLS 和短期令牌已经存在多年。真正的不匹配在于工作流程。IAM 配置、审批和再认证周期假定了一个被命名、被拥有且对人类负责的身份。
代理令牌创建在配置文件中，通过环境变量传递，复制到 CI/CD 运行器中，并提交到代码库。没有人提交工单。没有人批准访问。没有人进行季度再认证，因为没有人知道令牌的存在。
接下来会发生什么
对于构建和运营 AI 驱动系统的开发者来说，这里的模式与另一个时代的熟悉基础设施问题如出一辙。服务网格采用迫使团队认识到，微服务之间的东西向流量需要与来自用户的南北向流量相同的身份验证 rigor。
工作流程：下一个 AI 安全工具浪潮将建立在代理是一级身份的前提上，需要与任何特权人类账户相同的生命周期控制。
问题是治理工具能否以 AI 采用所需的速度成熟，还是行业将再花四年时间看着 2026 年的有效凭证在 2030 年仍然可被利用。
关键要点总结
核心要点：
AI 代理消除了人类判断曾经用来 catch 错误的自然减速点 MCP 正在以 AI 采用浪潮的速度传播，而非缓慢的生态系统成熟 代理凭证治理需要像特权人类账户一样的一级身份生命周期控制 GitGuardian 估计 AI 服务凭证在 2025 年同比增长 81%，达到超过 120 万次检测到的泄露
文档来源：production database in under 10 seconds
