CERT-EU演示插件后门：不触发模型工具调用也能窃取开发者凭据

欧盟网络安全机构CERT-EU公布了一项在受控实验室内完成的演示：一个恶意的人工智能编程助手插件，可以在完全不触发模型工具调用的情况下，从开发者机器上收集凭据和系统信息。TechNadu在11月2日的报道中梳理了这项实验，并指出它说明被限制的智能体与其周边软件之间可能存在权限落差。

实验使用的是与Pi 1.3.0和Claude Code 2.1.304相关的软件包的本地副本，以避免影响真实用户。据该报道，相关组件是一个为智能体增加能力、并且能够自行运行代码的扩展，其中一个软件包在一个月内约有160万次下载。

触发方式尤其隐蔽。CERT-EU观察到，恶意代码在遇到“lgtm, ship it”这句话之前一直保持静默——这看起来只是开发者常用的普通表述，而不像一条要求窃取信息的命令。实验中这句话出现在用户提交的文本里，但类似内容也可能通过粘贴的日志或邮件进入；取决于智能体如何处理工具返回的内容，触发词甚至可能出现在没有人输入的材料中。

一旦激活，这个尚未命名的插件就能访问运行智能体进程可触及的信息。CERT-EU的采集器拿到了主机与虚拟机信息、用户账户信息、网络配置、环境变量以及与凭据相关的文件。风险大小取决于插件获得的权限：除数据窃取外，还可能带来未经授权的代码修改与命令执行。

关键在于它绕过了常见的防护思路。测试中，智能体继续正常对话，没有显示任何访问或外传信息的恶意工具调用；对智能体文件读取工具的限制也无法阻止扩展访问文件，用于检查并阻断模型生成工具调用的措施同样没有拦截这次操作，因为整个动作由扩展独立完成，没有经过模型。

因此CERT-EU建议把整个智能体运行环境视为安全边界，而不只是模型本身：在虚拟机、容器或受限用户账户中运行智能体，减少凭据与敏感文件的暴露，尽量使用短期、范围狭窄的密钥，限制智能体可连接的外部地址与服务器，并盘点已安装的扩展、在更新前检查其变化。

除监控模型工具调用外，该分析还建议关注扩展的执行行为、对敏感文件的访问、异常网络连接以及源代码的未授权改动。对正在把编程智能体接入日常开发流程的团队来说，这条结论指向一个更朴素的要求：需要被审计的不只是模型说了什么，还有随它一起运行的软件做了什么。