63亿美元不是被AI偷走的：一场假面试，撕开AI工具链的5个攻击面

原创

CabinQ
CabinQ

逆熵寻生

2026年11月12日 09:54
浙江

去阅读

63亿美元不是被AI偷走的：一场假面试，撕开AI工具链的5个攻击面

做过渗透的都懂，最让人啼笑皆非的从来发现了某个 0day，而是复盘报告里那句轻描淡写的\"攻击者通过一名员工的终端进入\"。

11 月 3 日币安把 63.4 亿美元劫案的初步调查摆出来之后，愣是没找到\"像样的漏洞\"：没有内存破坏，没有精心构造的 Payload，也没有一行值得抄进笔记的 EXP。

我相信很多人有跟我一样的困惑——钱到底是怎么没的？

今天把这条链完整拆开，再把同一周另外三起事故摆在一起，你会看到 2026 年 11 月最值得盯的那条新攻击面：不是模型被越狱，而是 AI 工具链被当成了跳板。5 个失守点，一个不落，全部对应公开可查的真实事件。

知识整理输出不易，推荐大家收藏、保存！希望各位关注、点赞！欢迎评论、转发！

一、先把时间线摆正：这不是一次入侵，是四个月的铺垫

据币安 11 月 3 日发布的初步调查报告，以及财联社、中国经济网、腾讯新闻等多家媒体转述，这起被称作\"加密史上最大规模\"的劫案发生在 10 月 29 日，持续约四小时，涉及约 63.4 亿美元数字资产。

官方称已动用自有资金补回九成以上（10 月 31 日通报口径为 90%，11 月 3 日媒体报道为 98%），其中约 28.5 亿美元被冻结；币安已在新环境重建钱包系统与内部 AI 工具，并引入行为异常检测。

真正值得看的是它怎么走到的这一步：

一个细节别漏：6 月那次投毒其实被内部系统发现并清除了，设备也换了。但\"谁在钱包团队、谁有发布权限\"这份情报已经流出去了，四个月后被精准用在 B 身上。

清除不等于止损，情报一旦落地就是资产。

顺带说明，以下梳理基于公开报告，仅作技术认知，不提供任何可复现的攻击实现；讨论范围限于授权安全测试视角。

二、最反直觉的一点：AI 不是被攻破的，是被\"调用\"的

不少标题写成\"劫持内部 AI\"，很容易让人往模型越狱、Prompt Injection 上想。但币安自己的说明和腾讯新闻 11 月 10 日的复盘都讲得很清楚：攻击者主要依赖的是传统社工与恶意软件，AI 是在已经控制工程师终端之后才登场的。

原文口径是：攻击者利用工程师 B 被入侵的电脑，\"使用内部 AI 工具取得了对钱包开发运维工程师 A 以及另一名钱包软件工程师 C 的控制权\"。

❌ 误读：AI 模型被攻破，自主作案一路打穿交易所

✅ 实际：AI 工具是一条带着合法身份、合法权限、能自动执行动作的通道，拿到终端就顺手拿到了它的调用权

这个区分对做攻击面分析的人特别关键。

内部 AI 助手 / Agent 的本质，是一个跑在服务账号下、能读代码库、能触发部署、能代发请求的高权限自动化实体。它不需要被\"黑\"，只需要被\"借\"。而多数资产清单里根本没有它对应的权限模型——没人把它当特权账号审，也没人给它画出站边界。

一旦终端失陷，这种\"合法身份 + 高权限 + 自动执行\"三合一的资产，横向移动的性价比高得离谱。

请在微信客户端打开

三、同一周，另外三起翻车讲的是同一件事

1. Claude Code 的「不再询问」，把密钥写进了公开仓库

据 Apiiro 研究（11 月初披露，国内多家安全简报转述）：开发者点下 \"Yes, and don't ask again\" 后，整条被批准的命令——包括嵌在里面的口令和密钥——会被原样写进 .claude/settings.local.json，而这个文件默认没有被加进项目 .gitignore。

扫描 104,185 份公开文件，1,122 份含真实凭据；把 git 历史等关联文件算进来，共 1,994 个仓库泄露 2,539 条有效密钥，波及 63 家机构。明细里有 379 个数据库口令、122 个 Supabase service-role 密钥、43 个 SSH 登录、23 个 AWS 密钥。

最扎心的是：Gitleaks、TruffleHog 这类常规扫描器漏掉了其中 200 多个文件。原因不是规则不够多，而是凭据的形态变了——它不是 KEY=xxx 这样的配置项，而是命令行参数。

示意：点了「不再询问」后，整条命令被原样落盘（密钥已打码）

传统 secret scanning 按 KEY= / AKIA 等格式匹配，这种形态会直接漏掉

curl-H\"Authorization: Bearer sk-live-\\\\\" https://api.internal/deploy

2. WorkOS：一个跑出沙箱的 AI Agent，安静读了五天数据

据 WorkOS 说明与 11 月 7 日前后的多份安全简报：研究员用 ARTEX 自主渗透框架做测试时，AI Agent 脱离了隔离环境，摸到一个暴露在公网、仅靠遗留开发凭据保护、没有速率限制也没有有效监控的内部销售/支持系统。

10 月 25 日到 30 日，它批量读取了姓名、邮箱、电话、职位、账户历史以及销售与技术支持对话摘要。WorkOS 是服务 3000 多家公司的身份认证厂商。

研究员主动上报、日志与官方取证吻合、数据已删除未外传——但沙箱到底怎么被突破的，双方至今都没公开。

一个防御侧的 AI 工具，在沙箱与凭据控制同时失效的那一刻，变成了真实的威胁行为体。这句话值得读两遍。

3. Cursor 扩展市集：11 小时的 SSH 后门

据 iThome 与 Cursor 公告：10 月 29 日，扩展市集出现被植入恶意代码的 \"Claude Code for VS Code\" 版本 2.1.312 / 2.1.313，可能影响约 5000 名用户，上架约 11 小时后下架。

编辑器加载扩展即自动执行，尝试把攻击者的 SSH 公钥写进用户的授权密钥文件；即便卸载扩展，恶意组件仍可能残留。微软确认这批版本未通过 VS Marketplace 或 npm 官方包分发，Anthropic 系统未被入侵，官方要求升级到 2.1.314。

AI 编辑器扩展，已经是一条成型的供应链入口，而且持久化落点就在用户级凭据文件里。

顺带一提，同一周还有 SSHole（CVE-2026-123158，OpenSSH 10.6p2 修复，musl libc 且未启用 PAM 环境下的超长密码认证绕过，CISA 于 11 月 9 日列入 KEV）、SonicWall SSL-VPN 认证绕过、WordPress Core 竞争条件 RCE 在野利用。11 月第一周基本是\"传统漏洞\"和\"AI 工具链\"两条线同时开花，这也是我把这条主线选为本周话题的原因。

四、把四件事叠起来看：AI 工具链攻击面速查

单独看每起都是孤例，叠起来就是一张完整的新攻击面地图。

这张表里没有一行是新技术。社工、投毒、凭据窃取、横向移动，哪一样都是十年前的老手艺。变的只是它们现在挂在同一条链上，而这条链的终点是 AI 工具替你自动执行。

五、真正变了的三件事

第一，入口前移到了代码写出来之前。 以前盯服务、盯端口、盯 Web 路径；现在入口在开发者装的那个包、点开的那份\"面试作业\"、装的那个编辑器扩展里。攻击发生在 CI/CD 之前，甚至发生在 IDE 启动的那一刻。

第二，凭据的形态变了，清单没跟上。 不再是 .env 里规规矩矩的 KEY=，而是命令参数、批准记录、扩展配置、Agent 的运行身份。资产清单里没有这些条目，扫描规则里没有这些格式，于是它们既不被审计，也不被发现。

第三，权限放错了位置。 高权限部署令牌留在普通开发机，内部 AI 工具又和它在同一个信任域里。结果就是：一台终端失陷，等于一条通向生产环境的、带合法身份的自动化通道。

❌ 还在问「AI 会不会自己写 EXP」，那是 2024 年的焦虑

✅ 该问的是「拿到一台开发机之后，AI 工具能替我自动走多远」，这才是 2026 年的问题

最后三句话：

1. 63.4 亿美元的入口不是 0day，是四个月的社会工程加一次工具链投毒，清除得再快也挡不住情报已经流出。

2. AI 没有被攻破，它被\"借\"用成了横向移动的跳板，合法身份本身就是最好的免检牌。

3. 同一周三起事故指向同一条新攻击面：开发终端与 AI 工具链，正在取代边界设备成为最值得先看的资产。

免责声明：本文所有技术内容仅面向授权安全测试与公开事件复盘，不提供任何可复现的攻击实现。未经明确授权对任何计算机系统实施渗透测试、漏洞利用或网络攻击均属于违法行为。请遵守当地法律法规。