产业观察🔥7.0
四大AI编程代理曝相同安全漏洞，“技能”更新机制遭劫持风险
📋总体概括
网络安全公司Air披露，Anthropic Claude Code、OpenAI Codex、Google Gemini CLI和GitHub Copilot四大主流AI编程代理存在相同逻辑缺陷：技能自动更新机制未校验内容变更，攻击者可用同名恶意更新绕过扫描，静默窃取企业代码与知识产权。漏洞根源在于各厂商验证机制设计雷同，暴露行业共性安全盲区。目前Anthropic、OpenAI、Google三家已修复，GitHub未确认补丁状态。
⚡关键信息
- ▸Air披露四款主流AI编程代理均存在技能自动更新机制未校验内容变更的逻辑缺陷
- ▸攻击者可伪装同名恶意更新绕过安全扫描，静默窃取企业代码或知识产权
- ▸Anthropic、OpenAI、Google三家已修复，GitHub未确认补丁状态，仅称平台机制可阻断攻击
- ▸四家厂商验证机制设计雷同，说明该缺陷是行业共性盲区而非单点失误
🔥犀利点评
四家头部厂商在同一个环节栽同一个跟头，说明这不是失误而是行业互相「参考」的必然结果——AI编程代理跑得飞快，安全设计还在互相抄作业。更刺眼的是GitHub，别家都修了它还在嘴硬说「平台机制可阻断」，这种没有补丁确认的表态在安全圈基本等于没修。企业敢把代码库交给这些代理，先想清楚供应链投毒的账。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 36氪快讯 阅读全文 →