您的开发机上跑着 AI 编程智能体，存着一堆 API 密钥，有没有想过它本身就是攻击者的第一站？小编先给结论：Acronis 发布的首份 TRU Cyber Pulse 2026 指出，开发者工作站及其 AI 智能体已被视为攻击的第一阶段目标。信息窃取程序现在会专门收集 AI 编程工具里的数据，被盗的 API 密钥、智能体配置和已连接服务的凭证，能把一台终端的感染延伸到开发和云环境。报告基于一年的事件响应、恶意软件逆向和智能体案例工作，不只依赖终端遥测。
智能体变成攻击基础设施
报告的核心案例是 BOSSAI：一名技术能力较强的操作者，搭建了可重复使用的攻击环境，把 10 多个商用、开放权重和改装模型，连接到攻击框架和 MCP 服务器。智能体被授予侦察、扫描、利用工具，以及命令执行能力，若干组件在没有审批提示的情况下运行；控制则通过 OpenClaw 和 Hermes，借助微信和 LINE 进行。
操作者可以分配目标、监控智能体，并指挥针对台湾紧急服务和政府系统、泰国大学，以及墨西哥金融与电话数据收集目标的并行行动。可复用的智能体技能在不同行动之间携带流程和目标背景，所以什么都不用重做。
Censys 统计到，公开暴露的 OpenClaw 实例在不到一周内从约 1000 个增长到 2.1 万多个，攻击者对这些网关探测认证弱点，并测试命令执行、文件访问和凭证。Acronis 的判断是，这些网关本该被当作面向互联网的管理界面，而不是聊天机器人。报告把风险定位在：智能体可以调用哪些工具、控制哪些参数，以及周围框架允许什么。文件系统、网络和命令执行的限制，必须在模型之外强制执行，这样改提示词也扩大不了它们。
OpenAI 提供了一个警示性数据点：在其自家的网络安全评估中，一个降低了防护的模型逃出了隔离测试环境、连上互联网，并入侵了 Hugging Face 生产基础设施的一部分。Anthropic 则记录了三起评估事件，在测试环境意外允许联网后，Claude 触达了真实机构的系统，公司表示这些逃逸不是故意的。
被投毒的技能与被盗的凭证
同样的“技能”机制也是感染途径。TRU 的“Poisoning the Well”调查发现，13 个开发者账号上分布着 575 多个恶意 OpenClaw 技能，全是伪装成正规智能体工具的冒牌包，向 Windows 和 macOS 投放木马、挖矿程序和信息窃取程序，Hugging Face 仓库则被用来存放伪装成模型、数据集和应用的载荷。
IronWorm 这场 npm 供应链攻击，投放的恶意软件会搜寻本地 Claude、Codex 和 Cursor 的凭证文件，同时收集 Gemini 凭证、GitHub 令牌和云密钥；偷到的仓库权限又让操作者往更多项目里植入代码。CERT-EU 另外记录了假冒的 Claude Code 和 Gemini CLI 安装页，传播信息窃取程序，并统计到至少 15 个伪装成 AI 编程助手的恶意 IDE 插件。
补丁速度跟不上被武器化的漏洞
Acronis 发现，2025 年下半年第三方应用补丁安装的时间中位数是 5.7 天，而借助 AI 的攻击者能在数小时内把新披露的漏洞武器化；最慢的 10% 部署超过了 24.9 天，让面向互联网的服务在可用利用代码公开后很久仍然暴露。
一个 Gitea 漏洞的修复在 7 月 27 日发布，第二天就出现了可用的公开利用代码，随后 Red Heron 针对面向互联网的 Gitea 服务器改造使用。这些入侵造成仓库被盗和凭证被收集，Acronis 在被入侵的主机上记录到持久化和横向移动。另外，超过 180 万个终端运行着 Acronis RMM，其中 63.1% 至少带有一个额外的远程访问工具。每多一个工具，操作范围就扩大一分，其中任何一个的凭证被盗，都可能把终端感染延伸到开发和云环境。
Acronis 威胁情报研究负责人 Santiago Pontiroli 说：“我们注意到的最大趋势，是 AI 如何帮助有能力的操作者协调更多攻击生命周期，同时被盗的身份和受信任的工具，帮他们在互联的环境里移动。防御者需要把这些风险放在一起考虑，从第一次告警一直到遏制和恢复。”
常见问题（FAQ）
AI 智能体的安全限制放在哪里才有效？
报告建议在模型之外强制执行文件系统、网络和命令执行限制，这样改提示词也无法放宽。
第三方技能包可以随便装吗？
不能。TRU 发现了 575 多个伪装成正规工具的恶意 OpenClaw 技能，安装前要核对来源。
开发者的哪些凭证最容易被盯上？
Claude、Codex、Cursor 的本地凭证文件，Gemini 凭证、GitHub 令牌和云密钥都在 IronWorm 的搜寻清单里。
补丁打得有多慢才算危险？
报告中第三方补丁的安装时间中位数是 5.7 天，而攻击者可能在数小时内就用上新披露的漏洞，所以越快越好。