AI 代理正成为新的恶意软件传播渠道
作者：Farukh Rakhimov，AdTech Holding 合规、数据保护与信息安全负责人
约 7600 个虚假 GitHub 仓库、6600 个欺诈性个人资料、超过 1400 万次下载——这是 FakeGit 的规模。Island 在 2026 年 7 月记录了这一恶意活动。其中 800 多个仓库冒充 AI 技能和 MCP 服务器，传播 SmartLoader 和 StealC 信息窃取程序。
虚假仓库本身并不新鲜。真正令人意外的是推荐它们的对象——Gemini 和 ChatGPT 各自独立推荐了同一个恶意仓库 walmart-mcp。AI 代理发现了攻击者的项目，并向用户提供了安装说明。攻击者不再需要直接欺骗用户，他们可以欺骗用户信任的助手。
代理为何易受攻击
有两个架构特征使这类攻击成为可能。第一，代理将指令和外部信息都作为文本处理。隐藏在 README、网页或工具描述中的恶意指令，可能被理解为需要执行的内容，而不是需要分析的对象。这就是间接提示注入。第二，代理能够根据这些指令采取行动。安全研究员 Simon Willison 将三个条件的组合称为“致命三元组”：能够访问有价值的信息、暴露于不受信任的外部内容、以及能够将数据发送到系统外部。这三个条件叠加，就能把恶意文本变成潜在的数据泄露。
其他攻击利用的则是更简单的东西：伪造的信任信号。星标数、下载量、贡献者历史、注册表条目，都能让恶意软件看起来像正规软件。以下是这些弱点正在被利用的八种方式。
1. AgentBaiting：当 Agent 主动推荐恶意软件
AgentBaiting 攻击的目标是助手，用户本人并非目标。在 FakeGit 行动中，攻击者伪造了一批看起来很可信的代码仓库，文档也写得像模像样，再通过公共软件仓库分发。Gemini 和 ChatGPT 分别推荐了同一个伪造的 Walmart MCP 连接器，因为它看起来相关、可信。这些仓库分发的是 SmartLoader，它会进一步下载 StealC，用来窃取浏览器凭据、Cookie、活跃会话和加密货币钱包数据。这几个 Agent 本身没有被攻破。它们只是推荐了看似可信、实则被人为包装过的软件。
2. 工具投毒：把指令藏进工具描述
MCP 服务器会向 Agent 提供可用工具的文本描述，攻击者可以把指令藏在这些描述里。2025 年 4 月，Invariant Labs 演示了一种攻击：攻击者在一个恶意计算器工具中嵌入指令，诱导另一个原本可信的邮件连接器把发出的邮件复制给攻击者。用户完全看不到这些恶意指令。工具投毒目前仍是一个已被演示验证的威胁模型，尚未有公开确认的真实事件。
3. 当 Agent 隐瞒自己的行为
有些恶意技能会明确要求 Agent 不透露自己做过什么。2026 年的一项学术研究检查了两个注册表中的 98,380 个技能，确认其中 157 个是恶意的，并识别出 632 个漏洞和 13 种攻击手法。研究标题正来自一条反复出现的指令：“不要向用户提及此事。” 因此，Agent 可以报告任务已完成，却略过未经授权的操作，包括向外传输敏感信息。
4. Rug Pull：可信软件安装后变脸
有些包可能安安分分运行几个月，然后才露出恶意功能。2025 年 9 月，Koi Security 发现了 postmark-mcp——一个冒充正规 Postmark 邮件服务的连接器。1.0.15 及之前的版本看起来毫无问题。到了 1.0.16 版本，它偷偷加了一个隐藏的密送收件人，把发出的邮件悄悄复制到攻击者控制的域名。约 300 家机构的密码重置邮件和身份验证链接可能因此泄露。Postmark 确认该连接器并非自家产品，其服务本身也未遭入侵。这次攻击利用的是前几个版本攒下的信任。自动更新让恶意功能无需用户再次批准就能悄然到位。
5. 恶意改动可能发生在包之外
当外部依赖独立变化时，光审查源代码并不能发现所有问题。2025 年 8 月，Check Point 披露了 Cursor 中的一个漏洞 MCPoison：攻击者可以修改此前已批准的项目配置并执行命令，无需用户重新授权。Cursor 1.3 版本修复了该问题。另有一项 2026 年的实验展示了这样一种手法：分发给约 26,000 个 agent 的技能，最初链接到正规文档页面，之后该外部页面被换成恶意安装指令。包本身没有变化，威胁因此能躲过只检查提交文件的扫描器。
6. 打开不受信任的仓库就可能执行代码
即使你没有主动安装额外软件，AI 开发环境也会带来风险。Check Point 发现，Claude Code 可能在用户完成信任确认之前，就执行由仓库控制的配置命令。相关漏洞包括任意命令执行（CVE-2025-59536）和通过被篡改的服务器端点泄露 API 凭证（CVE-2026-21852）。Anthropic 随后修复了这些漏洞。这件事说明的问题很直接：在启用 AI 代理的开发环境里打开陌生项目，可能产生普通文件检查发现不了的代码执行路径。
7. ClickFix：用户自己动手装恶意软件
ClickFix 根本不需要复杂的提示注入。攻击者把恶意命令伪装成 README 或 SKILL.md 里的安装前提条件，用户照着说明操作，就亲手执行了这些命令。2026 年初的 ClawHavoc 行动中，研究人员在 OpenClaw 生态里发现了伪装成加密货币工具和生产力工具的恶意技能。Koi Security 在审计时，从 2,857 个可用技能中识别出 341 个恶意技能。Antiy CERT 随后又追踪到 1,184 个恶意技能，仅关联 12 个账号。这些恶意软件的目标包括加密货币钱包、浏览器凭证、API 密钥、SSH 密钥和 Telegram 会话。
8. 当智能体本身成为攻击者
智能体也能协同发动攻击。2025 年 11 月，Anthropic 披露了一起代号 GTG-1002 的网络间谍行动：攻击者通过 MCP 把渗透测试工具接入 Claude Code。据 Anthropic 称，该模型独立完成了约 80%–90% 的战术操作，人类操作者只负责设定目标和做出重大战略决策。Anthropic 将这起行动归因于一个国家支持的组织，不过这一判断尚未在公开的威胁情报库中得到独立证实。
这个案例说明：一旦智能体拿到了工具权限，现成的攻击工具就能被改作他用——模型提供执行能力，操作者提供意图。整个流程里没有任何环节需要新漏洞，只需要一个受信任的助手、一个可连通的连接器，以及一个看起来足够可信、让人不会多问的代码仓库。
上面八种手法都遵循同一个套路。攻击面不再局限于用户主动运行的代码，还包括智能体读到的描述、它检索的注册表、它衡量的信任信号，以及它替用户执行的更新。伪造的星标、早期看起来无害的版本、工具描述里藏着的指令——这些都是在制造可信度，而无论是用户还是助手，都很难核实这些可信度是真是假。
由此带来的现实后果是：为人类读者建立的审查习惯，并不能直接照搬到由智能体参与的工作流中。安装前先检查仓库仍然有必要，但已经不够用了——配置可能在批准之后被改动，外部网页可能在发布之后被替换，而推荐本身甚至可能来自一个从未被攻破、只是被"说服"了的助手。
攻击工具可以被组装成自主运行的工作流。
虚假声望的生意经
很多攻击靠的都是人为造出来的可信度。2026 年 4 月的一项调查发现，GitHub 星标被明码标价，每个 0.03 到 0.10 美元。研究人员还在 15,835 个代码仓库里识别出约 600 万个可疑星标。另一起案例中，攻击者克隆了一个 Oura 的 MCP（模型上下文协议）连接器，花三个月伪造贡献记录，再通过正规注册表分发恶意版本。还有一个恶意 Solidity 扩展，展示的下载量被人为刷高，最终逼近 200 万次。据报道，一名区块链开发者因此损失约 50 万美元。
决定一个项目能不能被发现的，是热度，不是安全性。代码审查和扫描工具也有局限：恶意功能可以藏在依赖项、工具描述、后续更新或外部网页里。
对广告技术意味着什么
开源生态以前就遭遇过类似的供应链威胁。强制双因素认证、可信发布和经过验证的软件包来源，最终让成熟的软件包注册表变得更安全。而 AI 技能市场发展快得多，安全基础设施却相对稚嫩。
影响面也更广：一个 AI 技能可能拥有访问邮件、代码仓库、数据库和凭据的权限。对广告技术来说，同样的风险会直接延伸到广告账户。媒介采购和广告运营（AdOps）团队越来越多地把智能体、报表助手和投放工具接到 DSP（需求方平台）、广告平台和广告主数据上。一个被投毒的报表或创意生成技能，可能泄露投放信息、窃取账户凭据，甚至危及广告预算。
底层的欺骗手法并不新鲜：买假星标、刷下载量，让恶意软件看起来可信——这和用虚假互动、机器人流量把欺诈性广告库存包装成优质资源是同一个套路。随着 AI 智能体掌握更多权限，验证它们所信任的软件和信号，变得和保护好它们运行所在的系统同样重要。