One Fake Error Took Over a $250B Giant: Cursor, Claude and AI Agents Exposed

這期影片的核心在於暴露AI安全防護中的一個根本性轉變。長期以來，AI安全的關注點都落在「如何保護模型本身」——防止模型被越獄、被誘導說出或做出不該做的事。今年年初Anthropic的Fable 5被十幾萬字的複雜提示詞擊穿，這被看作是模型越獄防護的極限演示。但講者發現，真正讓人擔憂的威脅並不來自對模型的直接攻擊。

黑客發現了一條更簡單有效的路徑：既然模型會忠誠地執行程序員給的指令，為什麼不直接篡改程序員收到的信息呢？這引出了對Sentry的攻擊鏈——Sentry是全球數十萬開發者每天都在使用的錯誤收集平台。當網站或應用崩潰時，錯誤信息會自動上傳到Sentry，開發者隨後查看並修復。黑客的做法是偽造一條看起來完全真實的錯誤報告，配上偽造的解決方案，甚至在這個方案中隱藏惡意指令。當開發者請求AI助手幫忙修復這個錯誤時，AI會讀到這條虛假信息，並按照其中的指令行動——因為在系統層面，這看起來就像開發者自己發起的請求。

最陰險的地方在於，傳統安全防護手段對此束手無策。從作業系統的角度看，命令是由程序員本人通過合法身份發起的；防火牆看不出問題；殺毒軟體無法攔截。這被安全業界命名為「授權意圖鏈」——惡意操作披著授權外衣。測試表明，對Cloud Code、Copilot和Codex三大編程工具的完整劫持成功率高達85%，研究人員在Sentry平台上發現了2388個真實可用的開發者憑證。

這暴露了一個尷尬的現實：97%的企業團隊已經部署了AI編程工具，但其中僅30%建立了相關的安全規則和監控，另外67個團隊完全是無控狀態。而且，不僅Sentry面臨這個問題，Cloud Code、Copilot和Codex各自身上都還有其他攻擊口子。講者問為什麼是編程AI首當其衝，答案很直白——這是今天整個AI版圖中被賦予最大信任和最重權限的一類工具。它能讀你的代碼庫、修改你的文件、在你的電腦上直接運行命令，相當於把萬能鑰匙交到了一個單線程助理手裡。

面對這些漏洞，各大平台的反應極其有趣。Sentry說這不歸我管，我只是收集錯誤，清洗數據不了因為真正的程序員本來就需要錯誤中的代碼和調試信息。Cloud Code加了沙箱但要先驗證身份。Copilot讓你開白名單和沙箱。Codex把執行權力挪到了雲端。沒有一個人真正堵上這道口子，大家在做的是轉移風險、轉移責任——有人說把執行搬到雲上，有人說給AI換個隔離的環境。這背後的邏輯是：這種漏洞從根本上堵不住。

當一個東西修不好時，能做的就只剩下把風險定價然後轉移給市場。投資市場已經看穿了這一點。今年AI安全這個細分賽道被重新評估——安全龍頭Palo Alto花4億美元收購了一家只成立一年的供應鏈網關公司，專門實時監測軟體供應鏈中的投毒跡象。另一家龍頭CrossTrack推出了新產品，為AI代理做持續身份驗證，讓AI每一次API調用都要重新驗證身份。這些都是真金白銀的賭注，說明市場正在為「無法從根本解決」的風險開始重新定價。更寬泛地看，AI企業的估值構成也在改變——從單純看模型跑分，現在多了一列叫「你能否兜住安全和責任」。