Plugin4Shell 攻击曝光：仓库主人可在 AI 插件中偷换固定 Agent
assentic · reddit · 2026-11-06
Reddit 用户 assentic 提出「Plugin4Shell」攻击概念：仓库所有者可以在 Skills、Plugins、MCP 等各 AI 扩展中跨 LLM 偷偷替换被固定的 Agent,而主流扫描器(ciso、nvidia 等)可能无法检测。
作者同时抛出问题:大家在日常工作里如何扫描自己的 AI 插件/MOD?这暴露了 AI 扩展生态供应链安全的一个盲区。
所属事件:Plugin4Shell 攻击曝光：AI 编码代理插件可被跨平台投毒(2 条相关)→
「编程与Agent」频道最新
- 首个律所赞助的开源法律 AI MikeGC 发布，Intake 功能对标 Harvey — Scobleizer · 2026-11-13
- 在 UE5 里用 AI 搭出 4000 栋楼的岛城,MacBook 跑到风扇狂转 — chrisfirst · 2026-11-13
- UE 5.9 内置 AI 助手从空白地图自动建城,布局可随时重建 — chrisfirst · 2026-11-13
- AI 写台词、ElevenLabs 配音,给游戏造一位毒舌女导演 — chrisfirst · 2026-11-13
- Profound 联创 CTO 播客:两周变两小时,谈 Fractal Speed 与创业无护城河 — soleio · 2026-11-13
- 开源权重模型仅占 T3 Code 流量 0.5%，但这是客户数据而非市场数据 — Arindam_1729 · 2026-11-13