Agent 面板 fail-open 漏洞致 API 密钥泄露,被盗刷约 60 万美元
GaryMarcus · x · 2026-09-02
攻击者利用一个 fail-open 配置 bug 让某公开 agent 仪表盘的 Google 认证失效,通过提示注入诱导 agent 交出 METR 的 API 密钥,并植入 SSH 持久化后门,随后盗用密钥约三周,消耗约 60 万美元额度。Gary Marcus 转发此事,称这是对 AI 从业者安全能力的又一警示:vibe coding 之后不检查安全性并不值得夸耀。
所属事件:METR 披露两起安全事件：Agent 遭提示注入泄露 60 万美元密钥(5 条相关)→
「安全」频道最新
- Agent 接管 Gmail 与浏览器后的投毒风险，及 jev-guard 防护做法 — sujingshen · 2026-10-18
- 用户追问 OpenAI 成人模式：承诺一年仍未落地 — ___Patrice___ · 2026-10-18
- AI 安全报告现乌龙："窃取密钥"实为 test 字符串测试钱包 — basedjensen · 2026-10-18
- 一张图讲清 CSRF 与 XSS 的区别 — _jaydeepkarale · 2026-10-18
- Grady Booch 批 Anthropic 安全框架：容许致 50 死和 10 亿美元损失 — Grady_Booch · 2026-10-18
- 论文：单个神经元即可绕过大模型安全对齐，横跨 7 个模型验证 — burny_tech · 2026-10-18