来源笔记
How Agentic AI Coding Assistants Become the Attacker's Shell
摘要
论文指出，具备行动能力的 AI 编码助手会把文件、技能、仓库和实时服务里的隐藏指令转成终端命令，并以开发者的权限执行。证据来自 AIShellJack 测试，以及 Cursor、GitHub Copilot、Claude Code、Zed.dev、Codex 和 Windsurf 的近期 CVE。
问题
- AI 编码助手把开发者提示和不受信任的项目上下文放在同一输入流里，所以文件中的攻击者文本可能会被当成指令。
- 这个风险之所以重要，是因为这些助手能在开发者机器上编辑文件、运行 shell 命令、安装软件包并访问网络。
- 一次成功的注入可能窃取 SSH 密钥或 AWS 凭证，修改认证文件，创建用户账户，或安装 cron 任务以维持驻留。
方法
- 作者使用 AIShellJack，这是一个自动化测试套件，包含 314 个攻击载荷，覆盖 70 种 MITRE ATT&CK 技术。
- 他们测试了 Cursor v1.2.2 和 GitHub Copilot v1.102，覆盖 5 个用 TypeScript、Python、C++ 和 JavaScript 编写的真实代码库。
- 每次运行都会加入一个被污染的编码规则文件，给助手一个正常的编码任务，并记录助手执行的命令。
- 论文还梳理了代码库文件、共享 agent 技能、MCP 服务器、IDE 设置、网站、API 和消息工具中的注入来源。
结果
- 在 314 个载荷中，普通编码流程里的攻击成功率介于 41% 到 84%。
- 这些攻击同时影响 Cursor 和 GitHub Copilot，并且在 5 个代码库和多种模型后端上都保持有效，包括 Cursor 自动模式、Claude Sonnet 4 和 Gemini 2.5 Pro。
- 测试载荷覆盖了 70 种 MITRE ATT&CK 技术，包括发现、凭证搜索、数据外传、账户创建、认证修改和持久化。
- 论文引用的一个 OWASP 示例显示，导入的技能文件里 3 行隐藏的 markdown 就能让 agent 外传 SSH 密钥。
- 论文引用的 Snyk 扫描在 3,984 个公开 agent 技能中发现 13.4% 存在严重安全问题，已确认的恶意技能里有 91% 把提示注入和传统恶意软件结合在一起。
- 摘要中提到 14 个不同的 AI 编码工具 CVE，包括攻击在信任对话框出现前就触发，或绕过命令允许列表的情况。