夜雨聆风你的 AI 助手正在读一份你没写过的指令。
这句话读起来有点荒诞。但就在昨天，一场名为 TrapDoor 的供应链攻击同时袭击了 npm、PyPI 和 Crates.io，涉及 34 个恶意包。攻击的目标不是你的代码，是你 AI 助手读的配置文件。
我们今天怎么信任 AI 助手的
我们用 Claude Code、Cursor 这些工具写代码，已经很习惯了。clone 一个仓库，打开终端，让 AI 读代码、改 bug、加功能。我们信任 AI 给的建议，因为我们信任 AI 读的代码。
但有一个盲区：AI 读的第一份东西，往往不是代码本身。是配置文件。
你 clone 一个开源项目，Claude Code 第一件事是读 CLAUDE.md。Cursor 第一件事是读 .cursorrules。这些文件里写了什么，AI 就照着做。你检查过这些文件吗？大概没有。你检查了 src/ 里的每一行代码，但你没检查 AI 助手读的第一份指令。
这就是 TrapDoor 钻的空子。
TrapDoor 是怎么回事
TrapDoor 不是传统的代码注入。它不往你的代码里塞恶意函数，它往你的仓库里塞恶意指令。
攻击者向流行的开源项目提交 Pull Request，改的不是 .py 或 .ts 文件，改的是 CLAUDE.md 和 .cursorrules。他们在这些配置文件里注入操纵性的指令：读取 SSH 密钥、窃取云凭证、转走加密货币钱包。代码看起来干干净净，但 AI 助手读到的指令已经变了。
这个攻击之所以得手，是因为它利用了 AI 工具的信任盲区——你检查代码，但你不检查 AI 读的配置文件。你用 Claude Code 打开一个项目，它做的第一件事不是读你的 main.py，是读 CLAUDE.md。你用 Cursor 打开一个项目，它做的第一件事不是读你的 index.ts，是读 .cursorrules。这些配置文件是 AI 助手的“第一指令源”——比代码更早被读取，比代码更优先被执行。
这个攻击的传播速度也让人吃惊。34 个恶意包同时在 npm、PyPI、Crates.io 三大平台上线，覆盖了加密货币、AI 开发、安全工具三个领域。攻击者不是随便选的目标，他们瞄准的是最可能使用 AI 助手的那群人——也就是我们。
开发者 clone 仓库，用 Claude Code 或 Cursor 开始工作。AI 读到被篡改的 CLAUDE.md，把里面的恶意指令当成可信指示执行。开发者不知情，AI 在背后偷偷干活。SSH 私钥被读走，云凭证被打包传走，钱包里的币被转走。
这不是假设。34 个恶意包，同时袭击三大包管理器。Socket Security 团队第一时间发了报告，说这是他们见过的第一波专门瞄准 AI 工具链的攻击。成功率远超传统供应链投毒。未知的恐惧在于，我们甚至不知道这种攻击已经悄悄进行了多久。
配置文件是新的信任边界
这件事让我停下来想了很久。我们一直在留意代码安全——SQL 注入、XSS、依赖漏洞、零日攻击。但代码安全有一个隐含假设：你信任你读到的文件。
AI 助手打破了这个假设。
CLAUDE.mdMEMORY.md.cursorrules——这些都不是代码，但 AI 把它们当指令、当记忆、当规则来执行。这些文件没有签名，没有哈希验证，没有身份认证。任何人改了它们，AI 就信了。
我们信任 AI，AI 信任配置文件，配置文件可以被任何人改。这条信任链的每一环看起来都合理，但整条链是断的。
传统安全手段是代码时代的产物
你可能会想，这不就是恶意 PR 吗？代码审查不是一直都在做吗？
问题在于，代码审查的眼睛不看配置文件。大多数团队的 PR 审查流程是这样的：看 .py 文件有没有后门，看 .ts 文件有没有漏洞，看 package.json 有没有可疑依赖。但 CLAUDE.md？那不是代码，那是“文档”。.cursorrules？那是“配置”，不审。
攻击者就是利用这个认知缝隙。他们不攻你的代码，攻你的 AI 的指令源。你的代码有十层防御，但你的 AI 助手读的配置文件是裸奔的。
而且这个攻击方式有一个特别可怕的地方：它不需要你安装任何恶意依赖。34 个恶意包只是载体，真正的武器是那些被篡改的配置文件。你 npm install 之后，包里的恶意代码可能被安全扫描器拦住，但 CLAUDE.md 里的恶意指令不会被任何人拦。
我们都在裸奔
说实话，看到这个消息的时候，我第一反应不是”还好我没中招”，是”我可能已经中过招了”。
你想想，你 clone 过多少开源项目？每个项目里都有 CLAUDE.md 或 .cursorrules 吗？你检查过它们的内容吗？我检查过吗？没有。我像信任代码一样信任这些文件，但它们不是代码。
更让人不安的是，AI 助手天然信任这些文件。Claude Code 看到 CLAUDE.md 就读，Cursor 看到 .cursorrules 就加载。它不会问你“这个文件里的指令你确认过吗？”它直接执行。AI 助手的执行逻辑是：只要文件在正确的位置，内容就是可信的。
但攻击者知道这一点。他们知道 AI 信任配置文件，所以他们不攻代码，攻配置文件。他们知道代码审查不审 .md 文件，所以他们把恶意指令藏在 .md 文件里。这不是技术漏洞，是信任模型漏洞。
AI 助手的信任模型是单向的
AI 助手的信任模型是单向的——它只验证文件位置，不验证文件来源。
你写的 CLAUDE.md，AI 信。攻击者写的 CLAUDE.md，AI 也信。因为对 AI 来说，这两个文件没有任何区别。它分不清”这份指令是项目作者写的还是陌生人写的”。它只看文件名、文件位置、文件内容。三个条件都满足，它就执行。
这就像古代的将军给前线士兵写了一封信。信使在路上被敌人截获，敌人仿照将军的笔迹改了信的内容。士兵看到信上有将军的印信，就照着执行了。问题出在哪？不是士兵不忠诚，是他只验证了印信，没有验证内容。
AI 助手就是那个士兵。CLAUDE.md 就是那封信。攻击者就是那个截获信使的人。印信没变，但信的内容变了。
这个类比还有一层意思：古代的将军后来学会了给信加密封蜡，让收信人能判断信有没有被拆过。但 AI 助手的世界里，还没有“密封蜡”这个机制。CLAUDE.md 没有签名，没有哈希，没有防篡改标记。它就是一个普通的文本文件。任何人都能改它，改完之后文件看起来跟原来一模一样。
而且这种攻击藏得很深。恶意指令藏在配置文件里，代码审查看不见，安全扫描器扫不到，依赖审计工具管不了。它绕过了我们过去二十年建立的整套安全体系。这不是绕过防火墙，是绕过信任模型本身。
而且后果不小。SSH 私钥泄露意味着你的服务器被人随便进，云凭证泄露意味着你的整套基础设施暴露在外，加密货币钱包被盗意味着真金白银的损失。一个被篡改的 CLAUDE.md，可能比一个被篡改的 package.json 更危险——因为 AI 助手会主动执行它，不需要你 npm install。
我们可以做什么
说几个具体的事。
第一，把配置文件纳入代码审查。CLAUDE.md 和 .cursorrules 不是文档，是 AI 的指令源。从今天开始，PR 改了这些文件，跟改了 main.py 一样审。
第二，本地配置优先。如果项目有 CLAUDE.md，clone 之后先读一遍。可疑的指令不要让 AI 执行。你自己的 .cursorrules 比项目里的更可信。
第三，留意异常行为。AI 助手突然读你的 SSH 密钥、访问你的云凭证、请求网络权限——这些不是正常操作，应该立刻停下来检查。
第四，用最小权限原则。AI 助手不需要读你的 ~/.ssh 目录，不需要访问你的云 API key。给它的权限越小，它被利用的空间就越小。
第五，建立配置文件白名单。你可以维护一个本地的可信配置文件列表。每次 clone 新项目，先检查 CLAUDE.md 是否在白名单里。不在白名单的，人工审核后再让 AI 加载。这个方法看起来麻烦，但比事后补救轻松得多。
第六，留意 AI 助手的行为变化。如果 AI 助手突然开始访问它平时不访问的文件，请求它平时不需要的权限，或者执行它平时不做的操作——停下来。这可能是配置文件被篡改的信号。就像你会留意电脑的异常行为一样，你也应该留意 AI 助手的异常行为。
这些做法看起来都是小事，但安全从来不是靠一个大招解决的。它是靠一堆小事堆出来的。每一件小事都不做，风险就堆成了山。每一件小事都做了，风险就被拆成了散沙。
我们正在从信任代码走向信任指令
TrapDoor 不是一个孤立事件。攻击的目标已经从代码扩展到了指令。
我们过去二十年建立的安全体系，是围绕代码的。代码审查、静态分析、依赖扫描、漏洞数据库——都是为了确保代码是安全的。但 AI 助手引入了一个新的执行层：指令层。AI 不只执行代码，它还执行指令。而指令的来源，比代码的来源更难验证。
这个变化对我们的影响比想象中大。今天是 CLAUDE.md 和 .cursorrules，明天可能是 MEMORY.md、SKILL.md、任何 AI 助手读取的配置文件。攻击面在扩大，但我们的防御手段还停留在代码层。
不过换个角度想，能发现问题本身是好事。TrapDoor 被发现了，安全社区开始认真讨论 AI 助手的安全边界到底在哪。漏洞被看见了，才能被修补。看不见的漏洞才是最危险的。
说到底，这件事归结为一个简单的道理：你信任你的 AI，但你的 AI 信任它读到的一切。这条信任链的薄弱环节不在代码里，在配置文件里。
下次你 clone 一个开源项目，让 AI 助手开始工作之前，花两分钟读一下它的 CLAUDE.md。那两分钟的检查，可能比你花两小时审代码更重要。别等中招了才后悔，那代价太大了。
我们正站在一个新的安全边界上。代码是旧战场，指令是新战场。不慌，但要看清楚。
TrapDoor 给我们敲了一记警钟。AI 助手不是敌人，但它可以被敌人利用。我们跟 AI 之间的信任，需要一个新的契约——不是“你读什么就信什么”，而是“你读什么，我先看一遍”。这个习惯养成之日，就是 AI 助手真正安全之时。下次 clone 新项目，先看 CLAUDE.md，再开始干活。
研究Agent的云 · 风云
若有共鸣,愿你转给那位你想到的朋友
邮箱 2330304961@qq.com · 微信 FengYunAgent
