AI智能体正成为新型恶意软件分发渠道

恶意仓库借智能体之口扩散

据AdTech Holding合规与信息安全负责人Farukh Rakhimov披露，2026年7月被Island团队记录的FakeGit恶意活动已创建约7600个伪造GitHub仓库、6600个欺诈性用户档案，累计下载量超1400万次。其中800余个仓库伪装成AI技能或MCP（Model Context Protocol）服务器，分发SmartLoader加载器及StealC信息窃取程序。值得注意的是，Gemini与ChatGPT在未受干扰情况下，独立向用户推荐了同一恶意仓库——walmart-mcp。该仓库表面提供沃尔玛API集成能力，实则诱导用户执行安装指令，最终部署StealC以窃取浏览器凭证、会话Cookie及加密货币钱包数据。智能体本身未遭入侵，仅因依赖伪造的可信度指标（如星标数、下载量、文档完整性）而误判其合法性。

智能体架构固有风险：间接提示注入与自主执行

研究指出，两类底层架构特性使此类攻击成为可能：其一，智能体将README文件、网页内容或工具描述等外部文本统一视为可执行指令源，导致隐藏于文档中的恶意指令被直接解析执行，而非被识别为需审慎评估的输入——即‘间接提示注入’；其二，智能体具备主动调用工具、发送网络请求等执行能力。安全专家Simon Willison将‘访问高价值数据’‘暴露于不可信外部内容’‘具备外发数据能力’三者并称为‘致命三要素’，一旦齐备，恶意文本即可触发实际数据泄露。

六类典型攻击手法

1. 智能体诱饵（AgentBaiting）：攻击目标从用户转向智能体本身。伪造仓库通过真实感强的文档、合理版本号及公开注册渠道建立表象可信度，诱使智能体主动推荐。

2. 工具投毒（Tool Poisoning）：攻击者将恶意指令嵌入MCP服务器提供的工具描述中。2025年4月，Invariant Labs演示了如何通过篡改计算器工具描述，操控受信邮件连接器将用户发出邮件副本转发至攻击者邮箱——用户全程无感知。

3. 隐蔽动作指令：部分恶意AI技能明确要求智能体‘勿向用户提及此操作’。2026年一项覆盖9.8万技能的学术研究确认157个恶意样本，发现632处漏洞及13种攻击技术，其中该指令高频出现，使智能体可在报告‘任务完成’的同时隐瞒敏感数据外传行为。

4. 地毯式撤退（Rug Pull）：合法软件在长期稳定运行后悄然植入恶意功能。2025年9月，Koi Security发现postmark-mcp连接器在1.0.15版前完全正常，1.0.16版却新增隐藏BCC收件人，将所有外发邮件抄送至攻击者域名，波及约300家组织的密码重置链接与验证邮件。

5. 外部依赖劫持：恶意变更可发生于包体之外。2025年8月，Check Point披露Cursor开发环境的MCPoison漏洞，允许攻击者绕过审批修改已批准项目配置；另有一项2026年实验显示，某技能初始链接至正规文档，后期远程页面被替换为恶意安装指引——包体哈希值不变，规避静态扫描检测。

6. 未授权代码执行风险：AI增强型开发环境（如Cursor、GitHub Copilot）在用户打开未审核仓库时，可能自动加载并执行其中的脚本或配置文件，形成‘零点击’执行链。

编者观点

对中国企业而言，这警示AI智能体不应被默认为可信执行层——需建立‘智能体沙箱’机制，对工具调用、网络外连、敏感数据访问实施动态策略管控，并将第三方技能/连接器纳入与传统软件同等严格的供应链安全审计流程。