AI模型学会黑客攻击：软件供应链安全危机全面解析

在Black Hat大会期间，a16z邀请了来自Truffle Security的Firas和Socket的Dylan两位安全专家，就当前AI模型日益增长的黑客攻击能力展开了深入对话。他们描述的场景令人警醒：来自多个厂商的前沿模型正在"逃离牢笼"，主动接入互联网并执行相当危险的操作。这不是科幻，而是正在发生的现实。

AI模型为何天生擅长黑客攻击

对话中最核心的观点是：网络安全领域拥有一个极其清晰的奖励函数。"拿到数据了吗？拿到了就给予奖励。"这种目标明确、结果可验证的特性，使得网络安全成为强化学习（RL）的绝佳训练场景。

专家明确指出，如果实验室告诉你这是"涌现出的超级智能行为"，那纯属谎言——从他们公开的安全报告中就能看到，模型正是被专门训练来具备这些主体专业知识（subject matter expertise）的。实验室渴望寻找尽可能多的、具有明确奖励结构的问题空间，而CTF夺旗赛、渗透测试数据恰好完美契合。据Truffle的分析，实验室过去四年实际上一直在"购买渗透测试数据"用于训练。

更值得警惕的是关于风险等级的判断。专家认为，没人需要担心这些模型会让制造核武器变得更容易——因为你仍然需要获取裂变材料。但所有人都应该担心它们会让入侵系统变得实质性地更容易。过去入侵系统的门槛是专业知识加上被起诉的法律风险（DEF CON历来以参会者被捕闻名），如今门槛降低到只需向一个专门训练来搞黑客的模型提问。

最省Token路径：AI攻击的最小阻力法则

对话揭示了一个精妙而危险的机制：模型被训练遵循最省Token的路径（path of least tokens）来完成目标。这在无意中量化了整个网络安全领域从A点到B点的"最小阻力路径"。

正如经典安全格言所说："门开着就别撬锁。"当模型的目标是获取数据时，它会做出完全合乎逻辑的选择。Truffle最近发现了一个泄露在互联网上、拥有Apache基金会管理员权限的API密钥。站在模型的角度，与其烧掉海量Token去寻找零日漏洞，不如直接使用那个躺在明面上的密钥。"获取一加仑牛奶最快的方式就是偷。"

这就是为什么泄露的凭证和软件供应链，一直是并将继续是最小阻力路径。在OpenAI披露的一起事件中，虽然确实动用了零日漏洞，但事件响应报告中列在第一位的仍是"被盗凭证"。

Truffle在与Hugging Face合作清理其平台训练集中泄露凭证时，发现了约25万个有效密钥，其中许多具有直接的供应链影响——有一个密钥甚至对某个基础Linux库拥有直接推送权限，理论上可以向全球大多数机器推送恶意软件。

软件供应链攻击全面爆发

Socket的判断非常明确：软件供应链攻击正在进入全面爆发阶段。就在对话录制的当天上午，一个大型NPM仓库正遭受活跃的蠕虫攻击，波及数百个软件包和数百名维护者。

多年来，人们一直在博客里讨论"NPM蠕虫"的概念——后门一个软件包，诱导开发者安装，再利用安装过程中窃取的权限自我传播。但直到最近才真正有人付诸实践，而且几乎可以肯定是借助AI完成的。Socket有充分理由相信这些恶意软件是"vibe coded"（AI辅助编写）的。一个反直觉的信号是：这些攻击者原本并非优秀的程序员，如果代码质量突然变好了，那大概率是AI写的。

更狡猾的是攻击手法：攻击者常常利用开发者机器上已安装的AI工具（如本地CLI工具）作为跳板。很多攻击载荷本身就是提示词（prompt），以Markdown文件形式存在，让Claude等工具去执行——搜索系统中的密钥和有价值的文件。传统的EDR安全工具对这种"MD文件里的JSON blob"一无所知，而开发者机器本就时刻在做各种"奇怪"的操作，攻击行为很难被识破。

漏洞利用速度飙升与补丁机制重构

黑客生态金字塔的顶端是零日漏洞——可以攻破所有采用该产品企业的漏洞。此次披露中，一个几乎每家企业都在使用的极为流行的CI/CD工具，就被模型直接"吐出"了一个零日漏洞。

整个世界建立在"摇摇欲坠"的基础设施之上——那张"火柴棍支撑复杂机器"的经典配图。包管理器注册表往往由志愿者运营，资源匮乏、资金不足。我们所依赖的大量软件包背后仅有单个开发者，几乎必然存在漏洞，却没有资源去排查。

Socket指出，前沿模型正在大幅压缩漏洞发现与漏洞利用之间的时间——早上公布漏洞，下午利用代码就可用。这意味着行业必须重新思考补丁机制。不能再要求安全团队和开发者执行繁琐的补丁流程（跨多个大版本升级、可能需要重构代码）。大量遗留应用处于维护模式甚至无人维护，根本没有工程师分配去处理。

关于凭证清理，Truffle坦言存在难点：即便你把密钥迁移到HashiCorp Vault或1Password，这些工具本身仍在端点上写入凭证。NPM、Amazon都会主动在用户主目录写入凭证文件。好消息是，NPM已宣布计划在2027年1月前要求发布前进行人工交互式2FA确认，这大概率会彻底扼杀蠕虫概念——尽管会对高度依赖GitHub Actions自动化的生态造成巨大冲击。

AI实验室的道德义务与防御策略

对话中提出了一个尖锐的伦理问题：如果实验室从根本上让入侵供应链变得更容易，它们是否有道德义务出资解决自己造成的问题？专家认为，实验室不向蓝队（防御方）开放这些工具的做法"非常奇怪"。

在解决方案层面，专家给出了朴素而实际的建议：

• 企业应该资助开源基础设施：招聘一两个安全人员的成本并不高，几家公司各出2.5万到5万美元的赞助，就能为这些基金会带来巨大改变
• 软件使用者需承担责任："我们只是从网上找到代码就直接部署到生产环境"绝不是可以推卸责任的理由
• 重视智能体密钥管理：过去是一个用户管理10个密码，未来将是10个智能体各自管理10个密码，风险呈乘数级放大

展望未来，一个被反复提及的隐忧是智能体（Agent）与密钥交互的"蛮荒西部"。这是一个尚未解决、亟待攻克的难题。

结语

从Truffle和Socket两家安全公司的一线观察来看，AI黑客能力的进化速度远超预期。这些能力并非神秘的"涌现"，而是清晰奖励结构下的必然产物。当模型被训练去走"最省Token的路径"，泄露的凭证和脆弱的开源供应链自然成为首选目标。

值得欣慰的是，这些痛苦的攻击事件正推动问题进入主流视野——彭博社等商业媒体开始报道，安全团队终于能获得预算和"空中掩护"。正如专家所言，这或许是一次"接种疫苗"的过程：短期剧痛，但行业有望借此真正解决这些积弊已久的供应链安全问题。