昨天   2026-09-18   星期五

四大 AI 编程代理曝相同安全漏洞，"技能"更新机制遭劫持风险

网络安全初创公司 Air 独家披露，Anthropic Claude Code、OpenAI Codex、Google Gemini CLI 及 GitHub Copilot 四款主流 AI 编程代理存在相同逻辑缺陷：其"技能"（Skills）自动更新机制未校验内容变更，攻击者可伪装同名恶意更新绕过扫描，静默窃取企业代码或知识产权。该漏洞源于各厂商验证机制设计雷同，凸显行业共性盲区。目前除 GitHub 外其余三家已修复；GitHub 称平台机制可阻断此类攻击，但确认补丁状态。