Mika Ayenson - "Can You See What Your AI Saw?" | [un]prompted 2026

當前軟體開發生態中，Cursor、Claude 等 AI 工具的使用率急速攀升。這些工具可以自主執行 Shell 命令、寫入檔案、進行網路呼叫，但從端點遙測的角度看，這些活動與惡意軟體的行為幾乎無法區分。Elastic 威脅研究團隊面臨的核心挑戰在於：一個開發者手動執行 `curl` 命令和一個 AI 代理執行同樣的 `curl` 命令，在程序樹、使用者上下文、命令列引數上表現完全相同。

這種"意圖歸屬困難"問題被進一步複雜化。想象一個場景：一個 AI 代理被注入了惡意提示，或者一個受汙染的程式碼庫檔案誘使 AI 代理竊取憑證並執行後門命令，所有這些操作都發生在看似合法的開發工具呼叫鏈中。對檢測工程師而言，需要區分的是：使用者是否有意識地下達了指令？還是 AI 代理在使用者不知情的情況下自我升級並執行了操作？

現有的檢測方法各有侷限。基於程式碼簽名的規則不適用，因為大多數 AI 工具都已簽名。程序族系追蹤面臨噪音問題，因為 Cursor、Claw、Git、Node、Bash 等工具混合使用，真正的異常行為被淹沒其中。檔案修改監控同樣困難——開發者本身就在不斷修改配置檔案，區分正常的程式碼編寫與惡意的持久化技術需要更精細的上下文。憑證訪問是更有前景的方向：當任何 AI 工具嘗試讀取 Git 憑證、JSON 配置檔案或 Cookie 儲存時，可以觸發警報進行調查。

未來的改進依賴於兩個關鍵創新。第一是 Agent Hooks——在 AI 工具執行操作前後插入資料收集鉤子，捕獲觸發提示內容、工具呼叫清單、模型拒絕事件等上下文資訊。這些資料透過 OpenTelemetry 統一資料格式後，可被任何 EDR 系統標準化攝入。第二是 語義一致性——不同 AI 工具和平臺需要採用統一的欄位定義（如工具名稱、使用者意圖、審批狀態、提供者資訊），否則檢測工程師需要為每個工具編寫不同的規則。Elastic 已與 OpenTelemetry 社群合併了初步的 GenAI 語義欄位，其他廠商應跟進採用。

當這些資料層次完整後，一個完整的故事可以被還原：某個名叫 Cursor 的工具產生了一個 Shell 程序，該工具已被組織批准，呼叫了特定的 MCP 工具，觸發提示來自特定使用者的互動。透過追蹤這整條鏈路，而非僅看單一程序，檢測系統可以區分合法的開發活動與真正的攻擊。