Man-in-the-Model：针对编码 Agent 的 LLM 网关中间人攻击

HiddenLayer 研究人员演示，攻击者控制 LLM 网关或推理服务器后，可对编码 Agent 发起中间人攻击，通过请求与响应的时序差异被动推断哪些操作自动执行、哪些需用户审批。在 4000 多个捕获会话中，短耗时工具调用仅 4.7% 落入其计时启发式的模糊区间，shell 调用为 25.5%。攻击者还能借请求头和工具目录识别所用 Agent，从请求内容和 CLAUDE.md、AGENTS.md 等文件读取权限配置，并在转发前抹去注入的读取痕迹。演示中，Hermes 手动审批模式下注入的文件编辑与 python3 执行将环境变量中的凭据和 ~/.ssh/id_rsa 发往攻击者 webhook；对已批准 git 前缀的 Codex，利用 Git 的 diff.external 选项无需审批即可读取 .env 中的密钥。