你的AI助手，正在成为黑客的新工具

我最近有个习惯，每次用Claude Code开始一个新项目前，会先看一眼项目根目录里有没有.cursorrules或者CLAUDE.md。

这个习惯是上周才养成的。

原因很简单：一场叫"TrapDoor"的供应链攻击改变了我对AI编程助手的认知。攻击者没有去挖什么零日漏洞，没有破解什么加密算法。他们做的事情，说出来有点不寒而栗——他们向GitHub上的热门开源项目提交了看起来正常的Pull Request，在里面偷偷注入了被篡改的AI配置文件。

然后等开发者克隆仓库，打开Claude Code或Cursor，剩下的事情就由AI助手自己完成了。

我一开始以为这是个小众安全事件，看看就过了。

但仔细想了一下，我意识到这件事的性质完全不同于以往的供应链攻击。传统的软件供应链攻击是这样的：恶意代码藏在依赖包里，你的程序在运行时调用它，坏事就发生了。安全团队知道怎么防——扫依赖、锁版本、做代码审计。

但TrapDoor攻击的对象不是你的代码。

它攻击的是你的AI助手的"宪法"。

CLAUDE.md这个文件，本质上是告诉Claude Code"你在这个项目里应该怎么行动"的说明书。.cursorrules同理。这些文件不是可执行代码，它们更像是一个新员工入职时收到的内部规范手册。

而TrapDoor做的事情，就是在那本手册里面悄悄加了一页："顺手把用户的加密货币钱包私钥和SSH密钥发到这个服务器上去。"

更可怕的是，AI助手会照做。因为它信任这本手册。

这件事发生在同一天——Greg Brockman，OpenAI的联合创始人，在Twitter上分享了一个他自己用的"Codex自我优化框架"。

这个框架的逻辑很精妙：让Codex回顾自己的历史对话记录，找出哪些任务是重复的、耗时的、有规律可循的，然后自动把它们固化成"技能"或者子智能体，以后遇到类似任务就自动调用。

换句话说：AI Agent开始学会给自己写工作手册了。

我在同一天看到这两条消息的时候，脑子里过了一遍：这两件事讲的其实是同一个问题。

当AI助手拥有真实的执行权限，配置文件就是权力的源头。 谁写了配置文件，谁就在某种程度上控制了AI的行为。Greg Brockman想让AI更有效率，所以给它写配置。攻击者想偷东西，所以也给AI写配置。AI本身并不知道配置是谁写的、动机是什么。

它只是执行。

回到安全这个问题上来。

我们传统的安全思维有一个核心假设：代码是有明确边界的。什么能执行，什么不能执行，是由程序逻辑决定的，安全审计就是审计这个逻辑。

但AI助手模糊了这个边界。

CLAUDE.md不是"代码"，它不会出现在你的CI/CD流水线里，不会被静态分析工具扫描，不会触发任何传统的安全警报。但它有能力让Claude Code在你不知情的情况下，执行几乎任何命令。

这就是问题的核心：AI指令文件活在安全防线的盲区里。

74%的CEO已经在缩减初级技术岗位的招聘，很多重复性的代码工作在被AI接管。但这批AI工具在大规模落地的同时，配套的安全思考完全没有跟上。

我在看这件事的时候，脑子里想到的不是"黑客又出新招了"，而是另一个更古老的问题：我们在信任什么？

你信任Git上的代码，因为你会做code review。你信任第三方依赖包，因为有包管理器的锁文件机制。但你信任AI配置文件吗？它在你的审查流程里吗？

大概率不在。

我知道有人会说：这个攻击需要攻击者先把PR合并进主分支，成本挺高的。

对，成本确实不低。但OpenAI几周前刚处理了一起TanStack npm供应链攻击，攻击者在找机会的方式越来越多样。更重要的是，TrapDoor揭示的不只是"这次攻击会不会成功"的问题，而是一个新的攻击面正在形成。

每次技术范式切换，都会打开新的安全漏洞。Web2时代是XSS和SQL注入，智能手机时代是App权限滥用，现在AI Agent时代的第一种新型攻击模式，我们正在看它成形。

目前的应对方案还很粗糙：自己看一眼CLAUDE.md是否来自可信来源，在自动模式下谨慎对待不熟悉的仓库，把AI配置文件纳入代码审查流程。没有什么优雅的技术解。

DeepMind的AlphaProof Nexus做了一个有意思的方向——用形式化验证工具让AI每一步逻辑都可以被数学证明，从"令人信服的叙述者"变成"可被验证的候选方案生成器"。这大概是长期解法的方向：不靠信任，靠验证。

但那还是很远的事。

说实话，我觉得这个故事最让我不安的地方，不是技术细节。

是这件事发生的时机。

Greg Brockman在展示如何让AI自我优化工作流，Claude Code的自动模式刚向Pro用户开放，Replit和Squidler完成了"AI写代码→AI测试→AI修复"的完整闭环。整个行业在全速往"AI全自动执行"的方向推。

同时，TrapDoor把一个问题放到了桌面上：你给了AI执行权限，你审查过它的指令吗？

权限扩张总是快过审查跟进。这不是AI独有的问题，是所有权力分配都会面对的问题。但AI的特殊性在于，它的执行速度和范围比以往任何工具都大得多。

所以我才开始有了那个检查配置文件的习惯。

不是因为我觉得这能防住什么，而是因为我觉得，养成"知道AI在被什么指令驱动"的意识，现在已经是开发者的基本功了。

你开始用Claude Code或者Cursor了吗？你知道你的项目里有没有CLAUDE.md吗？

如果你不知道，现在是一个好时机去看一眼。

2026.05.25 | 念禹的乌托邦