超越模型：AI智能体运行框架中的后门

CERT-EU AI 团队在隔离实验中演示，AI 智能体运行框架（harness）加载的第三方扩展可被植入触发式后门，在语言模型完全不参与的情况下窃取主机敏感信息。实验针对 Pi 1.3.0 和 Claude Code 2.1.304 两款运行框架，把凭据收集代码插入两个广泛安装的合法扩展（其一单月下载量约 160 万）的事件处理路径，仅修改本地副本、未改动或分发公开版本。后门只在输入出现预设触发短语（一条普通代码审查用语）时激活，向配置的收集端点传输主机与虚拟机信息、用户账户、网络配置、环境变量和工作目录中的凭据相关文件，期间智能体对话照常、无可见恶意工具调用。在测试配置中，限制模型文件读取的管控不适用于插件事件处理器直接访问的文件，审查模型工具调用的控件也未能拦截，因为操作并非源自工具调用。