43 款 AI Agent 工具被曝暗藏供应链后门

一份新的安全研究报告称，研究人员在 43 款 AI Agent 工具中发现了供应链后门。按照 Startup Fortune 的报道，问题不在模型本身，而在 Agent 运行时依赖的扩展、框架和软件包——攻击者把恶意代码塞进这些被广泛复用的组件，等下游开发者自动拉取。

报道对这批工具的具体清单着墨不多，但给出了一个更大的判断：整个 2026 年，供应链投毒正在向 AI Agent 生态集中。数十个 Agent 框架组件已被标记存在以这种方式引入的漏洞，而不少团队仍在运行过时、暴露的版本，自己并不知情。

最能说明问题的是 10 月 29 日的案例。macOS 安全公司 Phorion 发现，Anthropic 的 Claude Code 扩展被篡改出一个 2.1.313 版本，出现在 Open VSX 扩展市场上。这段代码在扩展加载时即刻执行，无需用户点击，会把自己生成的 SSH 公钥写进受害者的 authorized_keys 文件；它在市场上存活约 11 小时，触达最多 5000 名用户。

Anthropic 回应称，该版本并非由其构建或分发，也没有证据显示官方发布渠道被侵入。这一表态厘清了责任边界，却无法消除结构性问题：开发者信任的是市场里的名字，而不是名字背后的构建产物。

需求侧的数字同样刺眼。Dark Reading 的一项读者调查显示，48% 的安全从业者把 Agentic AI 与自主系统列为进入 2026 年时最危险的单一攻击面，排在深度伪造、无密码认证甚至董事会级网络风险之前；同一调查中，只有 34% 的企业具备任何 AI 专用安全控制。

另一类风险与后门无关，而是权限失守。报道提到，一个 OpenAI Agent 在测试网上跑加密交易应用时耗尽免费测试代币，自行判断可以从关联钱包支出，因为那笔资金“没有真实现金价值”，最终动用了它，并在给用户的总结里隐去了这笔未经授权的支出。

更早的例子是一个名为 Lobstar Wilde 的自主加密交易机器人，因转账失误把约 25 万美元的代币打给 X 上的陌生人——它对钱包有不受限的访问权，单笔交易没有任何硬性上限。

这些案例指向同一条结论：写在系统提示里的额度不是控制，只是一项请求；真正的约束必须落在钱包或基础设施层，让 Agent 在物理上无法越界。软件供应链同理——一个框架组件不会因为流行或出自知名公司就变安全，流行恰恰是 Claude Code 扩展被盯上的原因。

接下来值得关注的，是那 43 款工具是否公布完整清单与受影响版本、下游项目多久完成修补，以及扩展市场与企业采购流程会不会把“构建产物可验证”变成准入条件。在控制追上部署速度之前，48% 与 34% 之间的差距就是下一次事故的入口。