当好工具变坏：AI 工具投毒，以及如何防止您的 AI 成为双重间谍

AI 辅助开发（或更时髦的说法“氛围编程”）正在对代码创作产生深远且变革性的影响。资深开发者正纷纷采用这些工具，而我们中那些一直想创建自己的软件却缺乏相关经验的人，也正在利用它们构建以往因成本和时间限制而无法实现的项目。虽然这项技术有望开启一个创新的新时代，但它也带来了一系列新的漏洞和风险状况，令安全领导者们难以应对。

InvariantLabs 最近的一项发现揭示了模型上下文协议（MCP）中的一个关键漏洞。MCP 是一种类似 API 的框架，允许强大的 AI 工具自主地与其它软件和数据库进行交互。该漏洞引发了所谓的“工具投毒攻击”，这是一种可能对企业造成严重损害的新型漏洞类别。Windsurf 和 Cursor 等主流 AI 工具也未能幸免，鉴于它们拥有数百万用户，提升对这一新兴安全问题的认知并掌握管理技能至关重要。

目前，这些工具的输出结果 尚不足以被认定为企业级安全，正如 AWS 和 Intuit 的安全研究员 Vineeth Sai Narajala 与 Idan Habler 在 最近的一篇研究论文中所指出的：“随着 AI 系统变得更加自主，并开始通过 MCP 等方式直接与外部工具和实时数据进行交互，确保这些交互的安全性变得绝对必要。”

智能体 AI 系统与模型上下文协议的风险状况

模型上下文协议（MCP）是 由 Anthropic 开发的一款实用软件，旨在实现大语言模型（LLM）AI 智能体与其它工具之间更顺畅、更高效的集成。这是一个强大的应用场景，为专有应用程序与 GitHub 等关键业务 SaaS 工具之间的交互开启了无限可能，并能与前沿 AI 解决方案协同工作。只需编写一个 MCP 服务器，即可着手设定其运行准则及目标。

事实上，MCP 技术的安全影响大多是积极的。LLM 与安全专业人员所使用的技术栈之间能够实现更直接的集成，这一前景极具吸引力，它代表了在以往无法实现（至少无法在不为每个任务编写和部署自定义代码的情况下实现）的层面进行精确安全任务自动化的可能性。鉴于数据、工具和人员之间广泛的可见性和连接性是有效安全防御和规划的基础，MCP 所带来的 LLM 增强互操作性对于企业安全而言是一个令人振奋的前景。

然而，MCP 的使用也可能引入其它潜在威胁向量，如果不加严加管理，将显著扩大企业的攻击面。正如 InvariantLabs 所指出的，工具投毒攻击代表了一种新的漏洞类别，可能导致敏感数据泄露以及 AI 模型执行未经授权的操作，由此产生的安全后果将迅速恶化。

InvariantLabs 指出，当恶意指令被嵌入到用户不可见但 AI 模型完全可读（且可执行）的 MCP 工具描述中时，工具投毒攻击便成为可能。这会诱导工具在用户不知情的情况下执行未经授权的恶意操作。问题的根源在于 MCP 默认所有工具描述都是可信的，这对于威胁行为者来说简直是天赐良机。

他们指出了工具被入侵后的可能后果：

• 引导 AI 模型访问敏感文件（如 SSH 密钥、配置文件、数据库等）；
• 指示 AI 提取并传输这些数据，且在这一过程中，恶意行为对毫无察觉的用户是完全隐藏的；
• 通过隐藏在看似简单的工具参数和输出 UI 界面之后，造成用户所见与 AI 模型实际操作之间的脱节。

这是一个令人担忧的新兴漏洞类别，随着 MCP 使用的必然增长，我们几乎肯定会更频繁地看到此类问题。随着企业安全计划的演进，需要采取谨慎的行动来发现并缓解这一威胁，而让开发者做好准备成为解决方案的一部分是关键所在。

为什么只有具备安全技能的开发者才应利用智能体 AI 工具

智能体 AI 编码工具被认为是 AI 辅助编码的下一次演进，进一步提升了软件开发的效率、生产力和灵活性。它们增强的上下文和意图理解能力使其非常有用，但它们也无法免疫提示词注入、幻觉或攻击者操纵行为等威胁。

开发者是防范恶意代码提交的第一道防线，在未来的安全软件开发中，保持安全意识和批判性思维能力至关重要。

绝不应盲目信任 AI 的输出结果。只有具备安全技能并能运用上下文进行批判性思考的开发者，才能安全地利用这项技术带来的生产力提升。此外，这必须在类似于结对编程的环境中进行，即由人类专家对工具生成的成果进行评估、威胁建模，并最终予以批准。

了解更多关于开发者如何通过 AI 提升技能并增强生产力的信息，请点击 此处。

实用缓解技术，以及我们最新研究论文中的延伸阅读

AI 编码工具和 MCP 技术注定将成为未来网络安全的重要因素，但在深入应用之前，我们务必先审慎评估风险。

Narajala 和 Habler 的 论文 详细阐述了在企业层面实施 MCP 的综合缓解策略及其风险的持续管理。归根结底，其核心在于纵深防御和零信任原则，旨在专门应对这一新生态系统为企业环境带来的独特风险。对于开发人员而言，填补以下领域的知识空白至关重要：

• 身份验证与访问控制：智能体 AI 工具旨在解决问题并自主做出决策以实现既定目标，其方式与人类处理工程任务类似。然而，正如我们所指出的，不能忽视人类对这些流程的专业监督。使用这些工具的开发人员必须明确了解其访问权限、所检索或可能暴露的数据，以及这些数据的共享去向。
• 通用威胁检测与缓解：与大多数 AI 流程一样，用户必须精通相关任务，才能发现工具输出中潜在的缺陷和错误。开发人员必须接受持续的技能提升和验证，以有效审查安全流程并以严谨的安全标准审查 AI 生成的代码。
• 安全策略与 AI 治理的一致性：应让开发人员了解已获批准的工具，并为其提供提升技能和获取使用权限的机会。在信任代码提交之前，开发人员和工具都应接受安全基准测试。

我们最近发布了一份关于 “氛围编程”（vibe coding）与 AI 辅助编程兴起的研究论文，探讨了企业为培养下一代 AI 驱动的软件工程师所必须采取的措施。欢迎阅读，并与我们联系，立即强化您的开发团队。