这两周用AI写代码的开发者有点坐不住了：黑客的新猎物不是银行卡，是你电脑里那串AI编程工具的密钥。
Symantec披露了一款叫Aoki的信息窃取木马：不偷微信不偷U盾，专挑 `.claude.json`、Codex的 `config.toml`、Cursor本地库、`.env` 下手，顺带扫AWS凭证。Claude、Codex、Cursor、Gemini、Copilot、JetBrains AI、Kiro被一锅端——单开猎物清单本身就是信号：开发者凭据已成产业化目标。知乎微博
同一时间窗，开源编程代理OpenCode的旧系统被攻破，约1.4%用户的API密钥外泄，GPT、Claude、Gemini的余额几小时被跑空。官方连夜通报，催受害者立刻吊销并重配密钥。微博36氪
更扎心的是工具自己漏。10月29日，安全公司Forever Security发布研究，点名5大名鼎鼎AI编程工具的内置浏览器问题。恶意网页能偷偷给Cursor的AI助手下指令、让它在你电脑上执行命令，演示里直接弹出了计算器；Codex、VS Code、Claude Desktop则能被本地网页顺走SSH私钥和开发者token。通报之后Cursor和Copilot都修了，Codex和VS Code直到研究公开时还没修完。微博
明抢暗送都有。10月29日，Cursor扩展市场一度出现两个被恶意篡改的Claude Code扩展版本（2.1.312、2.1.313），挂了约11小时。装上就会往你机器的authorized_keys里塞一把叫"svc-telemetry"的SSH公钥。哪怕卸载扩展、攻击服务器下线，那把钥匙都未必失效。热门记忆插件claude-mem被指未经用户主动选择，就把最近30天的提示词传给了第三方。还有用户报告，Claude Code的agent替你读网页时，请求里夹带了账号邮箱——你的身份自动进对方日志。知乎微博知乎知乎知乎
企业比个人先慌。字节跳动11月3日被曝内部新规：全公司L4级代码仓库和飞书文档禁止外部AI访问，连员工自费账号也不能再用。技术副总裁洪定坤在内网的回应两头都占：“L3及以上内容一旦有泄露，后果是非常严重的”，可"推广产品不需要用这种禁掉其他选择强迫使用的方式，因为这样效果很差"。往前数，7月工信部NVDB平台已发布风险提示，明确指出Claude Code存在安全后门隐患。36氪微博微博
为什么是现在？知乎上有人专门发起了"大家都在用YOLO模式么？“的提问。人人都要快，没人细看权限提示。而agent早已不是"偶尔补全”：长期驻留、事件触发、读写本地文件，能力扩张的速度跑赢了权限模型收敛的速度。让agent替你写代码、调API，就得有一套系统能实时观察、追问、叫停，而不是事后翻日志。知乎知乎
大厂能锁L4仓库，没人能替你锁开发机。今晚花十分钟做三件事：
盘点：列清机器上装了哪些AI编程工具，`~/.claude`、`config.toml`、`.env` 这些配置和会话文件碰过哪些密钥。清单都没有，防线无从谈起。
换钥：假设Aoki已经见过你的旧钥匙，API key和SSH key批量轮换，生产仓库、私钥不放进天天YOLO跑的账号。
收权：关掉全局自动批准，删除、导出、外发走人工确认；会传云的插件看懂了再装；提示词里的业务逻辑和内网地址也是资产，别什么都往里塞。
记住：AI编程的上限看模型，下限看你的钥匙去了哪。
