METR API 密钥被盗滥用三周，损失约 60 万美元
Kyrannio · x · 2026-09-14
一起真实的 AI 安全事件：攻击者利用一个 fail-open 漏洞导致公共 agent 仪表盘的 Google 认证被关闭，随后通过 prompt 诱导 agent 交出 API 密钥，并植入 SSH 持久化后门。
- 密钥为 AI 安全评测机构 METR 所有，被盗后连续被滥用约三周
- 攻击者消耗约 60 万美元额度
- 事件再次凸显 agent 部署场景下认证失败策略（fail-open）与 prompt injection 防护的重要性
所属事件:METR 遭入侵：API 密钥被盗三周烧掉约 60 万美元(9 条相关)→
「安全」频道最新
- 30 位专家定义 AI 临床安全分类法，压测显示离自主诊疗仍很远 — AleksandraFaust · 2026-10-31
- AI 安全进入黑暗时代：Agent 会探测一切攻击面 — graceisford · 2026-10-31
- 闭门夜话:组织出货快 5 倍，GDP 却没涨 30% 的原因 — graceisford · 2026-10-31
- 曝 Android 现短信死亡漏洞，编号 CVE-2026-58882 — l4rz · 2026-10-31
- 96.8% 的 ExploitBench 分数若属实，将动摇「智能回报非线性」论 — teortaxesTex · 2026-10-31
- HackerOne 研究员：AI 加持的赏金猎人正处漏洞挖掘最前沿，别停赏金项目 — rez0__ · 2026-10-31