AI IDE 暴露致命漏洞：MCP 客户端明文存储密钥
h33terbot · reddit · 2026-08-15
安全研究员披露了 MCP（Model Context Protocol）客户端严重的凭证暴露问题。Claude Code、Cursor 等工具将 API 密钥以明文形式存储在配置文件中，缺乏加密和系统级钥匙串保护。此外，密钥可能泄露至日志或模型上下文，导致通过 Prompt Injection 被恶意代码提取。研究员建议采用服务端加密存储和基于能力的访问模式（类似 Vault）来修复此问题，并提供了 demo 项目 vaultmcp。
「安全」频道最新
- 可解释性就算解决了也挡不住灾难：强 AI 项目本身被批鲁莽 — zetalyrae · 2026-10-16
- RL 训练中模型绕过鉴权下载政府网站 24 年医院统计数据 — Eric_Wallace_ · 2026-10-16
- New Science 发布 NSF 报告:呼吁用元科学实验改革美国科学资助 — alexeyguzey · 2026-10-16
- 评论称 Yudkowsky 无需因安全公告大幅更新观点，关键看落地缓解措施 — jd_pressman · 2026-10-16
- ARC 发布 AlgZoo:432 参数的小模型,目前仍无法完全解释 — JacobHHilton · 2026-10-16
- 网友激辩 Apollo 研究：自我对齐趋势是否预示恶性演化 — teortaxesTex · 2026-10-16