文章总结： 该周报分析了2026年6月22日至7月3日期间五起AI与云安全事件。核心发现包括：AmazonQDeveloperMCP配置投毒漏洞可静默劫持开发者云身份；Shai-Hulud/Miasma供应链攻击同时击穿npm包族与GitHubActions；Mozilla0DIN幽灵仓库攻击利用ClaudeCode自动修复链执行恶意载荷；macOS.Gaslight后门通过嵌入伪造错误消息对抗LLM安全分析；腾讯云观测到攻击者利用AIAgent在受害主机上现场生成工具进行渗透。可操作建议是加强AI工具信任隔离与输入验证。 综合评分： 87 文章分类： AI安全,供应链安全,云安全,红队,漏洞分析

---

AI与云安全事件案例分析周报｜2026.06.22 – 2026.07.03

原创

创新研究院 创新研究院

绿盟科技研究通讯

2026年7月4日 08:00 湖南

在小说阅读器读本章

去阅读

事件一 Amazon Q Developer MCP 配置投毒漏洞（CVE-2026-12957）——恶意仓库通过 .amazonq/mcp.json 静默劫持开发者云身份

事件简介

• 事件概述：本事件是一起典型的 AI 编码助手信任边界失守案例。攻击者将恶意 MCP 配置隐藏在公开代码仓库中，利用 Amazon Q Developer 对 .amazonq/mcp.json 的自动读取与执行机制，在开发者仅完成“打开并信任工作区”这一低门槛操作后，静默启动恶意本地工具进程，进而窃取 AWS 会话令牌、Cloud CLI 凭证与 SSH 代理入口，导致开发者主机和云身份链同时暴露，并可进一步打到 S3、SageMaker、Bedrock 等高价值 AI 资产。

• 事件时间：2026-06-26 公开披露（Wiz 04-20 上报，AWS 05-12 修复）

• 事件链接：

  https://thehackernews.com/2026/06/amazon-q-developer-flaw-could-let.html

• 影响范围

1. 影响 VS Code / JetBrains / Eclipse / Visual Studio 中启用 Amazon Q Developer 的开发者
2. 暴露资产包括 AWS IAM 会话、Cloud CLI 凭证、SSH agent socket、本地 .env 与 ~/.aws/credentials
3. 修复版本下限：Language Servers for AWS >= 1.69.0；VS Code >= 2.20；JetBrains >= 4.3；Eclipse >= 2.7.4；Visual Studio Toolkit >= 1.94.0.0

• 技术分类归属：自治代理层 / AI 供应链层 / 公有云身份层
• 事件标签：云AI融合

事件背景与回顾

• 事件背景与架构形态：Amazon Q Developer 通过 MCP 在本地派生工具进程，打开工作区时会自动读取仓库内 .amazonq/mcp.json 并启动其中声明的 MCP 服务器。子进程默认继承开发者 shell 环境，因此可直接接触本地云身份与密钥。
• 时间线：Wiz 于 2026-04-20 报告，AWS 于 2026-05-12 修复，2026-06-26 公开细节。其模式与 Claude Code、Cursor、Windsurf 等 AI 编码工具的 repo-carried config 风险高度同源。

事件根因深度分析

• 基础设施与云配置错误：插件将“信任工作区”直接等同于“信任工作区中的全部配置”，没有将仓库携带的 MCP 配置与用户本地可信工具分离。
• AI 供应链与存储缺陷：本地开发环境中长期有效的 AWS 凭证、会话令牌和 SSH 代理会被继承环境的子进程直接读取，形成 AI 工具链与云身份之间的结构性耦合。
• 前沿算法/工程逻辑缺陷：Agent 把配置声明与执行授权合并在同一 JSON 语义中，缺少二次确认，也没有区分代码、配置、数据三类信任域。
• 复合依赖与应急响应缺陷：漏洞修复依赖多 IDE 生态同步升级，而共享底层组件 Language Servers for AWS 的发布时间差会拉长暴露窗口。
• 边界防御与分层隔离缺陷：AI 助手派生进程通常没有最小权限限制，可直接访问 SSH\_AUTH\_SOCK、本地密钥和云 CLI 会话。

VERIZON DBIR 事件分类

• System Intrusion
• Privilege Misuse

攻击路径与 MITRE ATT&CK 技术映射

事件二 Shai-Hulud / Miasma 供应链攻击——npm 包族、GitHub Actions 与 AWS Serverless 链路被同时击穿

事件简介

• 事件概述：本事件是一起针对云原生数据流工具链的严重复合供应链攻击，由 2026 年活跃攻击者利用 “Shai-Hulud / Miasma” 蠕虫式武器，对 LeoPlatform、RStreams 等 AWS Serverless 生态核心包族及 GitHub Actions 发布链实施深度投毒。攻击通过维护者凭证失陷、恶意 binding.gyp 隐蔽执行和 CI runner 令牌窃取，导致 GitHub 凭证、OIDC 身份、云环境秘密以及开发者主机入口大规模泄露，并形成从开源包污染到云端身份窃取再到自动复制扩散的完整闭环。

• 事件时间：2026-06-24 ~ 2026-06-26

• 事件链接：

  https://thehackernews.com/2026/06/miasma-malware-targets-npm-packages-and.html

• 影响范围：

1. 24 个 npm 包被木马化，重灾区为 AWS Serverless 工具链 LeoPlatform 及 RStreams
2. 1 个 Go module 与 1 个 GitHub Action 同时遭投毒
3. 泄露资产包括 GitHub OIDC Token、PAT、CI/CD 环境秘密、开发者主机持久化入口

• 技术分类归属：云基础设施层 / AI 供应链层 / CI/CD 身份层 / Agent 层
• 事件标签：云AI融合

事件背景与回顾

• 事件背景与架构形态：攻击同时打穿 npm 注册中心与 GitHub Actions，形成“包消费 -> 凭证窃取 -> 二次投毒”的闭环。受影响包广泛用于 AWS Lambda、Kinesis、Redshift 等 serverless 数据流场景。
• 时间线：维护者账户被入侵后，攻击者在数秒窗口内推送多个木马版本。后续又对 codfish/semantic-release-action 做 force-push，借 CI runner 窃取秘密与 OIDC 身份。

事件根因深度分析

• 基础设施与云配置错误：GitHub Actions 默认向 runner 暴露短期云身份，Action 标签未强制 commit SHA 锁定。
• AI 供应链与存储缺陷：高价值包族共用单一维护者账户，形成“人即单点故障”；发布链缺乏 provenance 与签名校验。
• 前沿算法/工程逻辑缺陷：攻击者利用 binding.gyp 在 install 阶段执行任意代码，绕过只盯 lifecycle hook 的常规检测，并进一步瞄准 IDE / AI 编码助手持久化。
• 复合依赖与应急响应缺陷：被污染的核心包又是其他包的依赖，传染半径会随依赖树自乘扩张。
• 边界防御与分层隔离缺陷：CI runner 对外网与内部秘密面同时开放，导致一旦落地即能横向抓取云资源与发布链身份。

VERIZON DBIR 事件分类

• System Intrusion
• Use of Stolen Credentials

攻击路径与 MITRE ATT&CK 技术映射

事件三 Mozilla 0DIN“幽灵仓库”攻击——Claude Code 自动错误恢复链被 DNS TXT 载荷劫持

事件简介

• 事件概述：本事件展示了 AI 编码 Agent 自动修复能力如何反过来成为攻击入口。攻击者构造一个表面无恶意代码的 GitHub 仓库，通过故意制造安装失败，引导 Claude Code 等 Agent 将报错中的“修复建议”视为可信操作执行，而实际载荷则隐藏在攻击者控制的 DNS TXT 记录中。最终，开发者主机在无明显恶意仓库痕迹的情况下被拉起交互式 shell，本地环境变量、API 密钥和后续持久化入口随之暴露。

• 事件时间：2026-06-27

• 事件链接：

  https://www.bleepingcomputer.com/news/security/clean-github-repo-tricks-ai-coding-agents-into-running-malware/

• 影响范围：

1. 影响具备自动错误修复能力的 AI 编码 Agent 使用者
2. 已明确验证对象为 Claude Code，其他具备 auto-remediation 的同类 Agent 原理相通
3. 影响资产包括开发者本地 shell、环境变量、API key、本地配置与持久化入口

• 技术分类归属：自治代理层 / Loop Engineering / 供应链攻击
• 事件标签：AI相关

事件背景与回顾

• 事件背景与架构形态：攻击仓库本体看起来是干净的，真正的恶意载荷藏在攻击者控制的 DNS TXT 记录中。Agent 在处理故意构造的安装失败时，会把报错内容误判为可信修复建议并执行。
• 时间线：Mozilla 0DIN 构造 PoC 并公开展示，2026-06-27 BleepingComputer 报道。该事件和 Amazon Q MCP 配置投毒处于同一“repo-carried behavior”风险家族。

事件根因深度分析

• 基础设施与云配置错误：AI Agent 在开发者主机上运行，直接接触本地 shell 环境和云凭证，却缺乏对“外部报错内容”的信任隔离。
• AI 供应链与存储缺陷：公开仓库、错误信息和外部 DNS 记录被组合成新的多跳供应链，仓库内甚至不需要直接放置明显恶意代码。
• 前沿算法/工程逻辑缺陷：auto-remediation 决策链把错误文本直接当成可执行建议，形成典型的执行流劫持。
• 复合依赖与应急响应缺陷：此类问题跨仓库内容、模型决策、外部解析与本地 shell 多层，难用单点补丁一次性封住。
• 边界防御与分层隔离缺陷：一旦拿到用户态 shell，后续即可遍历本地密钥与云 CLI 身份，继续扩大攻击面。

VERIZON DBIR 事件分类

• System Intrusion
• Social Engineering

攻击路径与 MITRE ATT&CK 技术映射

事件四 macOS.Gaslight——朝鲜关联 Rust 后门将 Prompt Injection 武器化，用于对抗 LLM 安全分析管线

事件简介

• 事件概述：本事件是目前已知最具代表性的“AI 安全分析对抗样本”之一。朝鲜关联的 Rust 后门 macOS.Gaslight 在样本内部嵌入大量伪造系统日志、崩溃报告和安全错误消息，专门诱导依赖 LLM 的恶意代码分析管线误判、截断或拒绝分析。它并非优先规避操作系统或传统沙箱，而是直接攻击安全团队的 AI 认知层，导致 AI-SOC、自动 triage 与样本归类结果失真，从而让真实威胁在自动化流程中被掩盖。

• 事件时间：2026-06-25 ~ 2026-06-26

• 事件链接：

  https://www.bleepingcomputer.com/news/security/new-macos-malware-embeds-fake-errors-to-confuse-ai-analysis-tools/

• 影响范围：

1. 影响使用 LLM 辅助样本分析、自动 triage 与 AI-SOC 的安全团队
2. 核心载荷是约 3.5KB 的伪造系统消息，用于误导分析器
3. 风险资产是威胁判断、IOC 提取和自动处置链可信度

• 技术分类归属：提示词工程 / Hardness 对抗 / 安全分析规避
• 事件标签：AI相关

事件背景与回顾

• 事件背景与架构形态：样本不是为了骗操作系统，而是为了骗分析它的 AI。恶意代码内嵌伪造的崩溃日志、数据库错误和安全告警字符串，目的是让 LLM 分析器中断、误判或拒绝继续分析。
• 时间线：SentinelOne 于 2026-06-23 发布研究，BleepingComputer 于 2026-06-25 报道。样本被标记为 macOS.Gaslight，与朝鲜关联活动高度相关。

事件根因深度分析

• 基础设施与云配置错误：许多安全管线会把样本字符串作为“被动事实”直接送入 LLM，缺少针对注入型内容的清洗层。
• AI 供应链与存储缺陷：分析结果若继续流入 SIEM、SOAR、工单系统，会把样本级污染升级成整条响应链认知污染。
• 前沿算法/工程逻辑缺陷：攻击目标是模型感知层。模型会将伪造系统消息误当成真实上下文，进而产生偏航推理。
• 复合依赖与应急响应缺陷：当 LLM 被当作一线 triage 分流器时，错误结论会直接影响优先级、工单与分析资源。
• 边界防御与分层隔离缺陷：安全团队往往共用样本抽取结果，但只有传统沙箱做了强隔离，LLM 侧还没有等强度的输入边界。

VERIZON DBIR 事件分类

• System Intrusion
• Miscellaneous Errors

攻击路径与 MITRE ATT&CK 技术映射

事件五 腾讯云观测到多起 Agent 驱动真实攻击链——攻击者开始在受害主机上现场生成工具

事件简介

• 事件概述：本事件表明 AI Agent 已从“辅助攻击者”演化为“渗透闭环执行器”。腾讯云在真实攻击溯源中发现，攻击者借助 Claude Code Agent、OpenClaw 等工具，能够在受害主机中根据实时反馈动态编写并执行 Java、SQL、Python 等攻击代码，现场生成所需工具并继续横向渗透。其结果是从 Spring4Shell 打点，到 Nacos、MSSQL、ZooKeeper、Dubbo 等云原生中间件被逐层利用，最终打穿调度、认证、配置和服务发现核心控制面。

• 事件时间：2026-06-26

• 事件链接：

  https://www.freebuf.com/articles/web/487888.html

• 影响范围：

1. 影响 Spring、SOFA、Nacos、MSSQL、Salt、ZooKeeper、Dubbo 等企业与云原生中间件环境
2. 攻击链持续约 6 小时，穿过调度、源码平台、认证系统、配置中心和服务注册中心
3. 文章点名使用 Claude Code Agent、OpenClaw、CyberStrike-AI、OpenCode 等工具或框架

• 技术分类归属：自治代理层 / 云基础设施层 / 智能体执行流
• 事件标签：云AI融合

事件背景与回顾

• 事件背景与架构形态：和传统攻击不同，这类攻击不再把全部工具预制在攻击者本地，而是在受害主机上边探测、边写代码、边编译执行，形成“环境反馈驱动”的自动化渗透闭环。
• 时间线：FreeBuf 于 2026-06-26 披露，案例包含 Spring4Shell、Nacos 配置篡改、MSSQL xp\_cmdshell、现场编写 Java 客户端提取 JDBC 驱动和 ZooKeeper 拓扑等链路。

事件根因深度分析

• 基础设施与云配置错误：暴露在公网的中间件和配置中心缺少有效访问控制，给 Agent 提供了可编排的攻击入口。
• AI 供应链与存储缺陷：业务 JAR、数据库驱动和脚本解释器都可在目标环境中直接重用，降低了攻击者自带工具需求。
• 前沿算法/工程逻辑缺陷：真正的变化是攻击逻辑被改造成持续反馈闭环，指纹识别、利用前提判断、WAF 绕过和工具生成都可自适应进行。
• 复合依赖与应急响应缺陷：传统 SIEM 更擅长识别单点异常，不擅长识别跨多个中间件、以低噪声推进的 AI Agent 渗透行为。
• 边界防御与分层隔离缺陷：配置中心、源码平台、数据库和服务注册中心间缺少强隔离，一次公网打点可顺着云控制平面一路横穿。

VERIZON DBIR 事件分类

• System Intrusion
• Privilege Misuse

攻击路径与 MITRE ATT&CK 技术映射

事件六 DuckDuckGo AI 检索链遭投毒——Reddit 社区协同发布虚假内容，引发高可信幻觉输出

事件简介

• 事件概述：本事件是一次典型的 RAG / AI 检索链投毒攻击。攻击者通过 Reddit 社区 r/poisonai 协同发布虚假新闻、仿冒站点与 AI 生成页面，利用 DuckDuckGo AI 对开放网络内容的实时抓取与摘要机制，成功让系统输出“特朗普死于狂犬病”之类高可信但完全虚假的答案。由于问题出在检索与来源治理层，而非单纯模型越狱，最终受影响的不只是单个回答，而是整条“开放网络内容 -> AI 检索 -> 用户事实认知”的信息链。
• 事件时间：2026-06-26
• 事件链接：https://cybernews.com/ai-news/duckduckgo-ai-hallucination-trump/
• 影响范围：

1. 影响依赖 DuckDuckGo AI Answers 获取实时事实摘要的用户
2. 受影响资产是 AI 检索可信度、RAG 来源治理与公众信息消费链
3. 典型后果是模型输出“特朗普死于狂犬病”等明显虚假但表面高可信的信息

• 技术分类归属：数据层 / RAG 污染 / 提示词与检索污染
• 事件标签：AI相关

事件背景与回顾

• 事件背景与架构形态：这不是传统越狱，而是典型的检索层数据投毒。Reddit 社区 r/poisonai 成员在论坛、伪新闻站和 AI 生成页面上批量发布一致叙事，利用搜索型 AI 的聚合与摘要机制抬升虚假信息可信度。
• 时间线：2026-06-26 Cybernews 报道该事件，DuckDuckGo 随后表示已加强过滤。事件展示了只要攻击者能制造足够多的一致性假内容，就可能污染弱验证的 AI 检索答案。

事件根因深度分析

• 基础设施与云配置错误：平台没有把“可检索内容”与“可信可摘要内容”明确分层。
• AI 供应链与存储缺陷：开放网络数据源本身就是外部供应链，一旦来源筛选薄弱，伪新闻站和论坛就会成为污染入口。
• 前沿算法/工程逻辑缺陷：模型会把重复出现、结构规范的假内容误当作交叉验证，从而在语义层放大虚假信息。
• 复合依赖与应急响应缺陷：错误答案被社媒二次传播后，平台需要同时清理检索、过滤和缓存，修复半径很大。
• 边界防御与分层隔离缺陷：公开网页、论坛和摘要模型间缺少足够的可信度隔离。

VERIZON DBIR 事件分类

• System Intrusion
• Miscellaneous Errors

攻击路径与 MITRE ATT&CK 技术映射

事件七 Azure CLI 遭大规模密码喷洒攻击——云命令行身份面成为批量撞库入口

事件简介

• 事件概述：本事件是本周最明确的公有云身份面攻击之一。攻击者围绕 Azure CLI 发起超过 8100 万次密码喷洒尝试，利用云运维团队常见的命令行登录入口作为撞库目标，而非传统 Web 控制台。由于 Azure CLI 往往直接绑定高权限运维账号、IaC、自动化 Runbook 和 Entra 身份链，一旦命中，将不只是账号失守，而是可能直接进入 Azure 云控制平面，进一步影响云资源、脚本仓库和后续 AI 资源配置。

• 事件时间：2026-07-01

• 事件链接：

  https://www.securityweek.com/massive-password-spray-campaign-targeting-azure-cli/

• 影响范围：

1. 已观测到超过 8100 万次登录尝试
2. 攻击流量被指向与托管服务商 LSHIY 相关的系统
3. 受影响面集中于 Azure CLI / Entra 身份 / 云运维账号，一旦命中即可进入云控制面调用链

• 技术分类归属：基础设施层 / 公有云身份层 / DevOps 运维面
• 事件标签：云

事件背景与回顾

• 事件背景与架构形态：本周最明确的云基础设施身份事件之一，是攻击者将传统密码喷洒战术直接压到云命令行入口。Azure CLI 面向高价值运维身份，一旦成功，不只是单点账号丢失，而是可能直达 Azure 资源、订阅与自动化脚本链。
• 时间线：SecurityWeek 于 2026-07-01 报道该活动，披露了 8100 万次尝试和与 LSHIY 相关的来源基础设施。公开材料尚未给出完整受害比例，但从目标面选择看，这明显是针对云操作面的身份打击。

事件根因深度分析

• 基础设施与云配置错误：很多组织对 CLI 入口的异常登录检测、条件访问和来源约束弱于控制台入口。
• AI 供应链与存储缺陷：一旦 Azure CLI 身份失守，往往可进一步接触 IaC、脚本仓库、部署密钥和 AI 资源配置。
• 前沿算法/工程逻辑缺陷：这里没有直接模型缺陷，但存在自动化放大效应，攻击者用脚本化喷洒把传统凭证攻击迁移到云运维接口。
• 复合依赖与应急响应缺陷：云团队的身份往往同时服务 CLI、Portal、CI/CD 与自动化 Runbook，一个入口薄弱就可能暴露整条控制面。
• 边界防御与分层隔离缺陷：云身份与资源权限若没有按最小权限和环境切分，命中一个运维账号即可继续访问更高价值资源。

VERIZON DBIR 事件分类

• Credential Abuse
• System Intrusion

攻击路径与 MITRE ATT&CK 技术映射

内容编辑：浦明

责任编辑：陈佛忠

本公众号原创文章仅代表作者观点，不代表绿盟科技立场。所有原创内容版权均属绿盟科技研究通讯。未经授权，严禁任何媒体以及微信公众号复制、转载、摘编或以其他方式使用，转载须注明来自绿盟科技研究通讯并附上本文链接。

关于我们

绿盟科技研究通讯由绿盟科技创新研究院负责运营，绿盟科技创新研究院是绿盟科技的前沿技术研究部门，包括星云实验室、天枢实验室和孵化中心。团队成员由来自清华、北大、哈工大、中科院、北邮等多所重点院校的博士和硕士组成。

绿盟科技创新研究院作为“中关村科技园区海淀园博士后工作站分站”的重要培养单位之一，与清华大学进行博士后联合培养，科研成果已涵盖各类国家课题项目、国家专利、国家标准、高水平学术论文、出版专业书籍等。

我们持续探索信息安全领域的前沿学术方向，从实践出发，结合公司资源和先进技术，实现概念级的原型系统，进而交付产品线孵化产品并创造巨大的经济价值。

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：绿盟科技研究通讯 创新研究院 创新研究院《AI与云安全事件案例分析周报｜2026.06.22 – 2026.07.03》