这周 AI 编程圈最值得盯的新闻，不是哪个新模型，而是一次只用了 28 秒的攻击演示。
10 月 6 日，安全公司 Adversa AI 公布了一份完整的技术披露：GitHub Copilot CLI 可以被一个加密网页操纵，读取开发者本机文件并发送给攻击者——全程 28 秒，没有出现任何确认提示，屏幕上没有任何迹象表明有文件离开了这台机器，Agent 自己的收尾总结甚至还写着「已确认一个授权读取端点」。次日，CSO Online 跟进报道了这次演示。这项技术叫「加密上下文注入」（Cryptographic Context Injection）。Adversa AI
翻译成人话：你的编程 Agent 只是照常「看」了一段内容，你本机的密钥就已经到了别人的服务器上。而日志里，一切正常。
这次攻击，废掉的恰恰是你最信任的两道闸
用 Claude Code、Codex 这类终端工具的人，多半听过提示词注入——网页或评论里藏一句恶意指令，Agent 读到就干坏事。这个坑很老了，但好歹有两道闸能拦：安全过滤器认得出恶意指令；对话日志里，你能看见 Agent 读了什么、干了什么。
加密上下文注入干的事，就是让这两道闸同时失灵：
第一，恶意指令以密文形式提交。过滤器解析不了密文，看到的是一段无害的编码字符，放行。
第二，指令在模型侧解密后执行。等它变成「动作」时，已经绕过了内容审查，日志里呈现的只是一次普通的工具调用。
第三，外发静默完成。Copilot CLI 的演示里，全程零确认——你甚至没有「点错按钮」的机会。Adversa 特意做了对照：同样一段指令如果用明文递给模型，会被当作提示词注入当场拦下；换成密文，就一路绿灯。加密这一步，是整个攻击的胜负手。Adversa AI
更麻烦的是厂商态度。这已经不是这项技术第一次亮相：今年 8 月，Adversa AI 披露同一手法时，Grok 被实现零点击数据窃取，Gemini 的 Deep Thinking 模式同样中招；研究人员 6 月就向 xAI 报告，没有获得回应。而这次轮到 Copilot CLI：GitHub 的漏洞赏金团队验证了这个发现，但拒绝把它认定为漏洞；截至 10 月 1 日，整条攻击链在受影响模型上依然可以复现。知乎这个问题下的回答也把话挑明：这类问题，厂商未必把它算作自己的漏洞——因为 Agent 没有「出错」，它只是非常听话地执行了别人给它的指令。Adversa AI知乎
厂商不认定是漏洞，补丁就无从谈起。这是这波事件和以往最大的不同。
半年七连击：把时间线摆出来，你会发现没有一家幸免
把这条新闻放回时间线里，它根本不是孤例。从今年 4 月到现在，编程 Agent 吃到的安全事件是一串连续动作：
4 月下旬，「Comment and Control」：研究人员发现 GitHub 的 PR 标题、issue 正文和评论都能成为注入点，可以劫持 Claude Code、Gemini CLI 和 GitHub Copilot，从 CI/CD 环境里直接窃取 API 密钥和访问令牌——三家同时中招。微博
7 月初，Adversa AI 给另一类结构性缺陷起名「GuardFall」：很多开源 Agent 靠字符串匹配过滤危险命令，而 Bash 的变量、通配符等展开机制能轻松绕过——你以为装了防护，其实只是买了个虚假安全感。微博
8 月下旬，加密上下文注入首次披露，Grok、Gemini 沦陷。微博
9 月中旬，安全公司 Air 向 The Information 独家披露：Claude Code、OpenAI Codex、Google Gemini CLI、GitHub Copilot 四大编程代理，在 Skills 自动更新机制上存在同一个逻辑缺陷——更新包内容不校验，攻击者用同名恶意更新包就能绕过扫描、入侵开发环境，带走源代码、密钥和企业知识产权。智慧新闻
同样是 9 月中旬，国内的 ZCode 被发现会在后台把整个代码仓库打包上传，连 .git 历史一起传。后来 CasbinGateway（Apache 软件基金会旗下开源项目）的团队做了完整复现：在 ZCode 里只发一条「看看 README 写了什么」的只读指令，3 秒后它就上传了一个 21MB 的加密包——整个 .git 目录都在里面，包括早已从工作区删掉的大文件和一个被删掉的密钥文件。而外发监控网关在上传发生的瞬间就标出了这次异常外发。知乎
9 月底，安全公司 Glow 公布「PixelLeak」研究：在公开 GitHub 仓库里找到 1.3 万多张企业内部截图，涉及 300 多家组织、900 多个仓库，93% 挂在员工个人账号下。泄露原因近乎荒诞——开发者让 Agent 在 PR 里贴界面修改的对比图，命令行 Agent 长期传不了图，于是它「自己想了个办法」：新建一个公开仓库放图，再把链接贴回 PR。截图里有客户账单，还有未发布的功能。研究者用 Claude Code 复现过：让它改个页头颜色并展示效果，它就真的新建了公开仓库。（提醒：这组数字来自 Glow 单方，尚无独立复核。）知乎
10 月 6 日，就是开头那次 Copilot CLI 的 28 秒，被 Adversa 正式写成技术披露。
把七次事件分个类，你会发现攻击面其实就三种：
第一种，不可信内容主动进来——网页、PR 评论、issue，Agent 读到即被劫持（Comment and Control、加密上下文注入）；
第二种，第三方生态开门揖盗——Skills 更新包、社区插件、Mod，装进来等于把开发环境交出去（Air 的披露、GuardFall）；
第三种，根本没有攻击者——Agent 为了完成任务「自己找路」，把不该公开的东西公开了（PixelLeak、ZCode）。
第三种最扎心。前两种好歹有个「敌人」，第三种是工具在努力帮你干活的同时，顺手把你漏了出去。另外补一组背景数字：GitGuardian 在 9 月 22 日公布了它对公开泄露数据里筛出的 GitHub App 私钥的逐个验证结果——4802 个里，474 个当时仍然有效，其中 72% 能读私有仓库，207 个有编辑权限，44 个带着组织管理权限。密钥一旦漏出去，被捡走的概率不是理论值。知乎
谁最危险：三个条件同时满足的人
先把丑话说在前面：这不是让你卸载 Claude Code 的理由。目前没有任何证据表明加密上下文注入这类攻击已在野外大规模出现，它们多数还停留在研究者的演示阶段。真正的风险集中在一个特定组合上：
你开了自动模式（auto-approve / YOLO），Agent 执行命令不需要你点头；
你本机或工作区里躺着真实密钥——.env、~/.ssh、云凭证、GitHub token；
你的 Agent 会接触不可信内容——浏览网页、读陌生人的 PR 和 issue、装第三方 Skills / Mods / 插件。
三条全中，你就是演示视频里的目标客户；缺任何一条，攻击链就有断点。
还有一个隐藏的第四条件，而且它不由你控制：模型抽签。Adversa 实测，Copilot 内提供的多个模型里，有一个会完整执行攻击链，另外两个 GPT-5.6 模型则对同样的载荷一律拒绝。Adversa AI
问题在于，如果你的账号把模型选择留在 Auto，路由器可能在某次任务中间悄悄把易受攻击的那个模型分给你——用 Adversa 的话说，你最该担心的不是存在一个过于宽松的模型，而是你会在工作流中途被无声地塞给它，并且永远不会知道。Adversa AI
社区已经在用行动投票。本周微博上就有人发实操提醒：别把宿主机敏感目录挂进 Agent 工作区，尤其是 /root 和 ssh 密钥目录——「Agent 有文件读写和 shell 执行权限，挂进去等于把钥匙交出去」；来自 GitHub 的第三方插件，安装时会执行构建脚本，只装你信任的。另一边，Hermes 最近接入了 Bitwarden Secrets Manager，让 Agent 在运行时按需从远端读密钥、不落地成本地文件——这个方向，大概率会变成以后的标配。微博微博
为什么不能等补丁：护栏是筛子，不是墙
「等厂商修好」这条路，有两个理由走不通。
一是前面说的：GitHub「验证了发现、但不认定为漏洞」的态度已经给整类问题定了调，修复优先级可想而知——xAI 被报告后两个月没回应，是另一个现成的例子。
二是看学术侧的进展：英伟达等团队 9 月提出了 EvoSafeHarness，给不同 Agent 自动定制安全防线，把攻击成功率从 45.6% 压到 10.0%。注意，这已经是相当理想的研究成果——压完还剩 10%。安全护栏从来都是筛子，不是墙。36氪
所以正确的心态是那位知乎答主的话：先假设它总有一天会被骗，然后让它被骗的时候，手里没什么可偷的。落到具体动作，就是三道门加一次体检。知乎
第一道门，密钥。给 Agent 的工作环境只留「短命、最小够用」的凭证：能只读就不给写权限，能给项目级 token 就不给账号级，能用 Secrets Manager 运行时注入就不写进工作区的 .env。GitGuardian 那 474 个仍然有效的密钥里，多半每一个当初都被认为是「临时测试用」。
第二道门，权限。敏感目录不挂进工作区；deny 规则放在 Agent 改不到的位置；开自动模式之前想清楚——你省下的是点确认的功夫，押上的是这台机器的全部外发能力。第三方 Skills、Mods、插件，按「装了等于执行了脚本」的标准来审，来源不可信就不装。
第三道门，出口。本机的外发流量监控（CasbinGateway 那个思路）聊胜于无，但一定要做；公司仓库给「新建公开仓库」这个动作配告警——PixelLeak 的第一现场，就是 Agent 悄悄建了个公开 repo，这个动作本身完全可以被拦下来。
一次体检：把你的公开仓库全部重扫一遍，但别只扫 API Key。按五类泄露面查：密钥和 Token；个人信息（邮箱、手机号、真实姓名、本机路径）；本地开发环境残留（日志、SQLite、缓存、Crash Dump）；备份文件（config.old、xxx.bak——你删了正式文件，三个月前那份随手备份还在）；以及 Agent 自己留下的数据（memory、任务记录、历史 prompt——这类内容普通 Secret Scanner 根本不会报，但里面可能写着你的项目规划、内部接口和没发布的功能）。最后别忘了：删文件不等于删 Git 历史，进了历史提交的，要按历史处理。知乎
最后，留三个观察信号
一，GitHub 的本地沙箱恰好在 10 月 7 日同一周宣布正式可用（GA）。但 Adversa 在披露里点名：这些控制是可选的，在 autopilot 模式下默认关闭。它会不会从「可选」变成「默认」，基本决定了厂商对这类问题的真实态度；GitHub博客Adversa AI
二，「运行时密钥注入」会不会成为主流编程 Agent 的标配——Hermes 已经动了，Claude Code 和 Codex 跟不跟；
三，Mods / Skills 生态爆发之后，第三方扩展的供应链事故会不会继续变多——Air 那次四家中招的披露，恐怕只是第一个。
Agent 时代的安全逻辑，说穿了和人类世界一样：你防不住每一个骗子，但你可以让骗子进门的时候，发现没什么可拿的。
