一个打字错误救了百万台机器:当 AI 编码助手变成可执行表面

8 月 23 号，TheNewStack 头版登了 Zeen Rachidi 的报道：《One pull to wipe them all》。

标题直白得让人坐不住——「一个 PR，擦除一切」。

事情经过是这样的：某个 AI 编码助手的扩展/插件里，有人推了一个看似无害的更新。构建时它去下载了一个外部文件，悄悄塞了一段新 prompt 进扩展的打包脚本里。prompt 的内容很直接：把整个系统擦到接近出厂状态，删文件系统，删云端资源。

然后把这个 prompt 喂给了 AI agent 的 CLI，参数还设成「不要问我」。

按剧本，下面就该是百万台机器同时重置。

唯一的拦阻，是一个 打字错误 （typo）。

当「配置」也开始跑代码

这件事之所以让人后背发凉，是因为它把 AI Coding 时代的安全边界给撕开了一道口子。

在传统的软件供应链里，我们默认「代码是输入，配置是静态」。你打开一个 .json，它就是一堆偏好设置，不会自己执行。

AI 编码工具把这套假设给砸了。

打开一个 workspace，.claude/settings.json 自动加载。Claude Code 的 Hooks 机制一启动，里面写好的 shell 命令就直接跑。.vscode/tasks.json 里登记的 task，agent 一调用 IDE 就执行。.env 里的 ANTHROPIC_BASE_URL 会被 OpenAI Codex CLI 优先读入，连接到一个不是你注册账号的远端。这些配置文件，从来没被当成可执行文件，但它们现在就是。

RSA 2026 大会上，Check Point 的首席技术官 Oded Vanunu 做了个标题很硬核的演讲：《When AI Agents Become Backdoors》。他团队在 Anthropic Claude Code、OpenAI Codex、Google Gemini、Cursor 上找到了 6 个高危 CVE，列出来足够你看完失眠：

• CVE-2025-59536
  （Claude Code Hooks，HIGH）：攻击者可以滥用 Claude Code Hooks——本意是让用户自定义自动运行的 shell 命令——在用户还没接受启动信任对话框之前就让工具执行恶意代码；
• CVE-2025-61260
  （OpenAI Codex CLI）：在项目里塞一个 .env，把 CLI 重定向到一个恶意本地 .toml 配置文件，那个文件会接上攻击者控制的 MCP server，让 agent 不需要人工授权就跑命令；
• CVE-2025-54136
  （Cursor MCP swap attack）：开发者审批 MCP server 命令时，Cursor 把授权绑在插件名字而不是内容哈希上。攻击者先提交一个无害命令让你批，批完再把插件换成恶意 payload；
• CVE-2026-21852
  （Claude Code）：项目配置文件里写一个恶意的 ANTHROPIC_BASE_URL，所有 API 调用先被截到攻击者那边，明文 API key 一起被收割。

Vanunu 接受 Dark Reading 采访时说得非常直接：「所有安全产品对 agentic AI 是完全失明的。」

蠕虫比防御升级快：ChainDrop 已经会写 MCP 配置

8 月 4 号，Microsoft Threat Intelligence 发了一份技术通报：超过 400 个 npm 包被植入 Mini Shai-Hulud 蠕虫——Bun 打包的混淆 JavaScript，单包下载量约 20 亿次/月。

这个 worm 跟前几代 Shai-Hulud 不一样。它不再只偷凭证再重发包了。它会主动把 payload 写进受害开发者的 .claude/settings.json 和 .vscode/tasks.json。

也就是说：你下次打开这个项目，agent 一启动，恶意配置就跟着跑。开发者传染开发者，不靠 supply chain，靠 IDE workspace。

OX Security 在 8 月 9 号的 outbreak debrief 里把这个变化单独拎出来写：

「The Worm Evolves into MCP」——蠕虫演进到 MCP。

他们还扒出来一件更离谱的事：ChainDrop 用 stolen GitHub 凭证把自己注入到合法仓库里，做持久化。这相当于以前的 supply chain 攻击是「你装了我的包，你中毒」，现在升级到「你打开我的仓库，你中毒」。

ClawHub 排名被刷：Agent 时代的应用商店攻防

如果你以为 AI Coding 安全问题只在工具本身，那就太低估攻击者的想象力了。

Cloud Security Alliance 在 2026-040 号研究笔记里，详细记录了 AI Agent 时代的「应用商店」被攻陷的案例。ClawHub 是 Claude Code 生态最大的 skills marketplace，研究者在 2026 年 3 月发现它后端有个未鉴权 downloads:increment RPC 端点——无任何限速、无去重、无权限检查。

知道一个 skill 的 deployment ID 和 skill ID（这两个值公开网络流量里都能看到），攻击者就能任意刷下载次数。

研究者拿一个测试 skill 做了 PoC：6 天刷出 50 个城市、3900+ 次假安装，还被真实组织装上了。

这相当于给「AI Agent 时代的应用商店」做了一次完整的刷榜实战。

一个 打字错误 救百万台机器——但这种好运不能天天指望

回头看 TheNewStack 那条新闻，本质上是个好消息：攻击者的脚本里有个打字错误 typo，让 prompt 注入失败，整个攻击链断在最后一环。

但这种「运气」不应该是 AI Agent 时代的常态。

真正需要关心的事情有三件：

第一，重新定义「什么算可执行文件」。 现在的 EDR/XDR 还在按文件后缀（.exe, .sh, .py）判断威胁源，但 agent 时代的可执行表面是 .json、.toml、.env、.claude/settings.json、.vscode/tasks.json。这些文件被 IDE 一加载就等于执行，但没有任何安全工具会去扫它们。

第二，开源社区在 agent 安全治理里缺位。 Anthropic 在 RSA 之后宣布 3,500 万美元 Defender Advantage Fund，主动给 OSS 安全项目发 Claude credits 让他们去修补漏洞。但这是闭源大厂自己定义规则。Debian vote_002 在投 AI 贡献能不能进包，CSA 在做研究，但开源社区在「MCP 协议要不要加签名」「skills marketplace 怎么验证」这些基础问题上没有发言权。

第三，Linux / 自由软件开发者是重灾区。 MCP 配置、agent skills、.claude/ 目录这些都跟着仓库走。开源项目的 issue tracker、CI 流水线、release notes 都在 agent 的工作半径里。一个 typo 救百万台机器这件事，下次未必能复现。

AI 编码工具还在以 4 倍速度铺开，安全工具跟不上。今天让你「惊出一身冷汗」的故事，明天可能是让你「哭都哭不出来」的复盘。

那个 打字错误  救了我们一次。但我们不能指望每次都有这种运气。

相关图书推荐

↓ 点击阅读原文，查看相关链接 ↓