METR 披露安全事件：vibe-coded 应用认证被静默禁用

nptacek · x · 2026-09-01

AI 评测机构 METR 发布安全更新，披露今年两起安全事件：3 月攻击者窃取了一个公开模型推理 API key 并消耗大量额度；5 月攻击者系统性探测其公开基础设施，包括一次试图通过意外暴露的端点访问内部数据（未遂）。METR 强调这些是外部攻击，初步扫描未发现评测中的 agent 攻击第三方的证据，并因此加大了安全投入。

转发中提到的细节尤其引人注意：一个 vibe-coded（用 AI 随手生成代码的）应用包含 fail-open 漏洞，认证被静默禁用。