CERT-EU演示AI智能体框架第三方扩展后门风险
先了解这件事
CERT-EU AI团队在隔离实验中演示，AI智能体运行框架加载的第三方扩展可被植入触发式后门，在语言模型完全不参与的情况下窃取主机敏感信息。实验针对Pi 1.3.0和Claude Code 2.1.304两款运行框架，将凭据收集代码插入两个广泛安装的合法扩展的事件处理路径，仅修改本地副本，未改动或分发公开版本。后门只在输入出现预设触发短语时激活。后续分析指出，工具审批只约束模型发起的调用，拦不住插件自身运行的代码：实验中两个代理对话保持正常，未出现恶意的模型工具调用，但接收端分别收到了请求。
AI 根据报道生成 · 5 天前更新
后续时间线
- 公众号 Oxo Security工具审批为何拦不住插件代码？从 CERT-EU 实验检查代理的执行边界
CERT-EU 在 2026 年 10 月 30 日发布的研究显示，工具审批只约束模型发起的调用，拦不住插件自身运行的代码。研究者在隔离实验室改造 Pi 1.3.0 和 Claude Code 2.1.304 两款现有插件的本地副本，用测试凭据观察收集与外发；普通代码评审短语即触发预埋逻辑，两个代理对话保持正常、未出现恶意的模型工具调用，但接收端分别收到了请求。作者据此指出审批检查的是模型请求了什么，而插件可在事件路径上直接调用系统能力，并提出按执行身份、资源可见性和网络出口三处核对的部署自查方法，同时提醒工具日志只记录模型请求，不能证明插件进程没有外传。
- CERT-EU精选超越模型：AI智能体运行框架中的后门
CERT-EU AI 团队在隔离实验中演示，AI 智能体运行框架（harness）加载的第三方扩展可被植入触发式后门，在语言模型完全不参与的情况下窃取主机敏感信息。实验针对 Pi 1.3.0 和 Claude Code 2.1.304 两款运行框架，把凭据收集代码插入两个广泛安装的合法扩展（其一单月下载量约 160 万）的事件处理路径，仅修改本地副本、未改动或分发公开版本。后门只在输入出现预设触发短语（一条普通代码审查用语）时激活，向配置的收集端点传输主机与虚拟机信息、用户账户、网络配置、环境变量和工作目录中的凭据相关文件，期间智能体对话照常、无可见恶意工具调用。在测试配置中，限制模型文件读取的管控不适用于插件事件处理器直接访问的文件，审查模型工具调用的控件也未能拦截，因为操作并非源自工具调用。
相关讨论
- 72 小时以前 · 不计入 72 小时的数字
- X@OKURA_LabsAgent controls govern what the model asks to do. A lab test found a hidden routine in a legitimate add-on that collecte…（新标签页打开原帖）
关注度走势
每天新增来源
- 11月5日新增1个来源（0家媒体、1个账号）
- 11月6日新增0个来源（0家媒体、0个账号）
- 11月7日新增1个来源（1家媒体、0个账号）
- 11月8日新增0个来源（0家媒体、0个账号）
- 11月9日新增0个来源（0家媒体、0个账号）
- 11月10日新增0个来源（0家媒体、0个账号）
- 11月11日新增0个来源（0家媒体、0个账号）
- 11月12日新增0个来源（0家媒体、0个账号）
- 11月13日新增0个来源（0家媒体、0个账号）