AI与云安全事件案例分析周报｜2026.07.06 - 2026.07.10

原创

星云实验室
星云实验室

绿盟科技研究通讯

2026年7月11日 08:00
北京

在小说阅读器读本章

去阅读

本周重点集中在 AI Agent 执行边界、AI 编排平台暴露、云身份钓鱼与开发者供应链。

事件一

GhostApproval：AI 编码助手符号链接审批绕过可将恶意仓库变成本地主机入口

事件简介

• 事件概述：Wiz 披露 GhostApproval 攻击模式，指出 Amazon Q Developer、Claude Code、Augment、Cursor、Google Antigravity、Windsurf 等 AI 编码助手在处理恶意仓库内符号链接时，可能把用户批准的“普通项目文件”写入真实敏感目标，例如 ~/.ssh/authorized\_keys、~/.zshrc 或 AI 工具配置。攻击者只需让 Agent 执行“初始化项目”“按 README 设置工作区”等常见动作，即可能获得 SSH 持久化、shell 启动执行或本地凭证读取能力。
• 事件时间：2026-07-09 公开报道，Wiz 于 2026-07-08 发布研究
• 事件链接：https://thehackernews.com/2026/07/ghostapproval-symlink-flaws-could-let.html

• 影响范围：

• 影响使用 Amazon Q Developer、Claude Code、Augment、Cursor、Google Antigravity、Windsurf 处理不可信仓库的开发者

• 风险资产包括 SSH 登录文件、shell 启动脚本、AI 工具配置、本地云 CLI 凭证和 AWS 等云身份材料

• Amazon Q Developer、Cursor、Google Antigravity 已有修复或更新；Augment、Windsurf 仍需规避不可信仓库；Claude Code 对风险归类存在分歧

• 技术分类归属：自治代理层 / AI 供应链层 / 开发者主机身份层 / 公有云身份层

• 事件标签：云AI融合

事件背景与回顾

• 事件背景与架构形态：符号链接本身是传统 Unix 文件系统能力，但 AI 编码助手把“仓库内容”“自然语言指令”“文件写入动作”和“用户审批 UI”串成新的执行链。GhostApproval 的关键不在 symlink 新颖，而在审批窗口只展示表面路径，没有展示最终解析后的真实目标路径。
• 时间线：Wiz 向相关厂商报告后，于 2026-07-08 公开 GhostApproval；2026-07-09 The Hacker News 报道并列出各工具修复状态。该问题与 W26 的 Amazon Q MCP 投毒、Claude Code 幽灵仓库和前周 Bash 旧技巧绕过同属“repo-carried behavior”风险家族。

事件根因深度分析

• 基础设施与云配置错误：开发者工作站通常同时持有 SSH、GitHub、AWS CLI、容器注册表等身份材料，AI Agent 一旦可跨项目边界写文件，就能绕过传统“仓库沙箱”的心理边界。
• AI 供应链与存储缺陷：恶意仓库不需要直接携带明显恶意二进制，只需携带符号链接、README 指令和看似合理的配置文件名，就可把普通开源仓库变成 Agent 执行载体。
• 前沿算法/工程逻辑缺陷：审批 UI 展示的是 Agent 请求写入的逻辑路径，而不是文件系统最终落点，导致“人类在环”被错误上下文欺骗。
• 复合依赖与应急响应缺陷：同一问题横跨 IDE 插件、命令行 Agent、文件系统解析、权限 UI 和本地凭证管理，修复需要多家厂商同步改写路径解析与审批逻辑。
• 边界防御与分层隔离缺陷：多数 Agent 默认拥有开发者用户权限，缺少只读仓库模式、出项目目录写入阻断、敏感路径二次确认和容器化隔离。

VERIZON DBIR 事件分类

• System Intrusion
• Privilege Misuse

攻击路径与 MITRE ATT&CK 技术映射

事件二

Langflow 多漏洞遭利用：AI Agent 编排平台成为算力、凭证和二阶段载荷入口

事件简介

• 事件概述：CISA 将 Langflow CVE-2026-55255 加入 KEV，并要求联邦机构紧急修复；该漏洞是 /api/v1/responses 端点的 IDOR，允许已认证攻击者访问其他用户 flow，读取敏感数据并消耗资源。与此同时，Sysdig 观测到针对 Langflow 的野外利用，攻击目标包括代码执行、二阶段 implant 投递、AI 主机算力滥用和 LLM / 云密钥窃取；旧漏洞 CVE-2025-3248 也被 JadePuffer 勒索活动利用。
• 事件时间：2026-07-08
• 事件链接：https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-prioritize-patching-langflow-auth-bypass-flaw/

• 影响范围：

• 影响暴露在公网或弱访问控制下的 Langflow AI Agent / workflow 编排平台

• 风险资产包括 Langflow flows、PostgreSQL 数据库、LLM API key、云访问密钥、GPU/CPU 算力和后续 implant 落地环境

• 本周相关风险覆盖 CVE-2026-55255、CVE-2025-3248、CVE-2026-33017、CVE-2026-5027 等多条 Langflow 攻击面

• 技术分类归属：编排层 / 自治代理层 / 云基础设施层 / 凭证暴露

• 事件标签：云AI融合

事件背景与回顾

• 事件背景与架构形态：Langflow 是用于构建 AI Agent 与可执行 pipeline 的可视化框架，具备拖拽式节点编排和 REST API 调用能力。它一旦暴露在公网，攻击者拿到 flow、数据库或执行入口后，天然可以顺着 LLM 密钥、云密钥和算力资源继续扩展。
• 时间线：Sysdig 于 2026-06-25 观测 CVE-2026-55255 野外利用；2026-07-08 BleepingComputer 报道 CISA KEV 紧急修复要求。CISA 同期也提示 CVE-2025-3248 已被 JadePuffer 等勒索相关活动利用。

事件根因深度分析
* 基础设施与云配置错误：AI 编排平台经常为方便调试暴露 API、Web UI 或测试环境，若认证、对象级授权和公网访问控制不足，flow 级别 IDOR 会直接变成数据与执行入口。
* AI 供应链与存储缺陷：Langflow flows 往往保存 prompt、节点配置、工具调用参数、数据库连接和 LLM key；攻击者读取 flow 等同于读取 AI 应用供应链蓝图。
* 前沿算法/工程逻辑缺陷：Agent 编排平台把“模型调用、工具调用、数据访问、代码执行”统一抽象成 flow，权限边界若仍按普通 Web 应用设计，会低估执行链组合风险。
* 复合依赖与应急响应缺陷：同一平台连续出现 IDOR、缺失认证、代码注入、路径穿越等问题，说明漏洞修复不是单点补丁，而是需要重审暴露面和运行时最小权限。
* 边界防御与分层隔离缺陷：AI 主机若同时持有云 key、数据库凭证和外网访问，一次 Langflow 打点即可变成算力劫持、凭证窃取与二阶段载荷投递。

VERIZON DBIR 事件分类

• System Intrusion
• Credential Abuse

攻击路径与 MITRE ATT&CK 技术映射

事件三

Forg365：AI 辅助 PhaaS 平台将 Microsoft 365 钓鱼、OAuth 与会话持久化产品化

事件简介

• 事件概述：ZeroBEC 披露 Forg365 钓鱼即服务平台，该平台面向 Microsoft 365 账号窃取，集成 AiTM、device-code phishing、AI 辅助诱饵生成、OAuth app 配置、SMTP 配置、token/cookie 管理和后渗透操作。攻击者可用 AI 在同一控制面内生成更贴合业务场景的钓鱼邮件，再通过 ForgCookie 浏览器扩展持续刷新 Microsoft SSO cookie，从而维持对受害者 Microsoft 服务的访问。
• 事件时间：2026-07-09
• 事件链接：https://www.bleepingcomputer.com/news/security/new-forg365-phishing-platform-uses-ai-to-target-microsoft-365-accounts/

• 影响范围：

• 影响使用 Microsoft 365、Entra ID、OAuth device-code flow 和第三方邮件安全网关的企业

• 攻击基础设施涉及 Amazon SES、SendGrid 资源、Cloudflare Pages 和 Gophish

• 风险资产包括 Microsoft 365 账号、SSO cookie、OAuth grants、邮箱规则、会话 token 和云协作数据

• 技术分类归属：公有云身份层 / 应用层 / AI 社工生成 / SaaS 会话持久化

• 事件标签：云AI融合

事件背景与回顾

• 事件背景与架构形态：Forg365 将原本分散的钓鱼链条平台化：邮件生成、落地页、device-code 引导、AiTM 代理、cookie 刷新、OAuth 应用和账号情报面板在同一后台完成。AI 功能不是单纯写邮件，而是降低定制诱饵和平台构建成本。
• 时间线：ZeroBEC 于 2026-07-09 发布分析，BleepingComputer 同日报道。该平台被认为与 Kali365、Sneaky2FA 等 PhaaS 形态存在功能相似性，但公开材料尚未确认直接关联。

事件根因深度分析

• 基础设施与云配置错误：企业若默认允许 device-code flow、缺少条件访问约束、OAuth grant 审批和异常 broker 活动监控，会让钓鱼链绕过传统密码拦截。
• AI 供应链与存储缺陷：攻击者把 Amazon SES、SendGrid、Cloudflare Pages 等合法云服务嵌入投递链，提高邮件送达率和基础设施可信度。
• 前沿算法/工程逻辑缺陷：AI 生成内容使钓鱼诱饵更快适配行业、岗位和业务上下文，降低批量定制成本。
• 复合依赖与应急响应缺陷：一次账号失陷后，需要同时撤销 token/session、清理 OAuth grants、检查 mailbox rules、审计新设备登录和 Microsoft Authentication Broker 活动。
• 边界防御与分层隔离缺陷：Microsoft 365 会话 cookie 和 OAuth 权限一旦被接管，可继续访问 SharePoint、OneDrive、Teams、邮件和内部文档。

VERIZON DBIR 事件分类

• Social Engineering
• Credential Abuse

攻击路径与 MITRE ATT&CK 技术映射

事件四

Injective SDK npm 供应链投毒：GitHub 贡献者账号失陷后发布钱包窃密包

事件简介

• 事件概述：Injective Labs SDK 项目的 GitHub 仓库被攻击者通过合法贡献者账号入侵，并向 npm 发布恶意版本 @injectivelabs/sdk-ts 1.20.21。该版本在开发者调用生成或导入钱包密钥相关函数时窃取 mnemonic seed phrase 和 private key，并通过伪装成合法基础设施的 HTTP POST 外传。该包每周下载量约 5 万，并进一步影响 17 个关联包和大量依赖链。
• 事件时间：2026-07-09
• 事件链接：https://www.bleepingcomputer.com/news/security/injective-sdk-on-npm-infected-with-cryptocurrency-wallet-stealer/

• 影响范围：

• 影响使用 Injective SDK 构建钱包、交易机器人、DEX、DeFi 应用和支付工具的开发者

• 恶意版本 @injectivelabs/sdk-ts 1.20.21 曾被下载约 310 次，另有 17 个关联包被固定到该恶意 SDK 版本

• 风险资产包括钱包私钥、助记词、开发者本地密钥、CI/CD 环境变量和链上资金

• 技术分类归属：开发者供应链层 / npm 包管理 / 凭证窃取 / CI/CD 生态

• 事件标签：云

事件背景与回顾

• 事件背景与架构形态：攻击者不是直接投放仿冒包，而是入侵合法 GitHub 贡献者账号，修改真实项目并发布真实包的新版本。恶意逻辑不在安装阶段立即触发，而是在钱包密钥函数被调用时激活，提高静态检查和安装期监控难度。
• 时间线：攻击者于 2026-06-08 左右提交可疑变更并发布恶意版本；项目方数分钟内发现并回滚，随后发布干净版本 1.20.23；2026-07-09 BleepingComputer 汇总 Socket、Ox Security、StepSecurity 的分析。

事件根因深度分析

• 基础设施与云配置错误：发布链依赖 GitHub 账号、npm token 和项目维护权限，若贡献者账号缺少强 MFA、最小权限和发布审批，单点失陷即可影响真实包。
• AI 供应链与存储缺陷：虽然该事件不直接利用 AI，但命中 npm、GitHub 和开发者 SDK 供应链；同类路径可被 AI 编码助手自动更新依赖进一步放大。
• 前沿算法/工程逻辑缺陷：恶意逻辑被设计为函数调用时触发，绕过只看 install hook 的检测逻辑，也降低依赖机器人和自动审计工具的发现概率。
• 复合依赖与应急响应缺陷：87 个直接依赖包及更多传递依赖可能受到污染影响，撤回恶意包、升级干净版本和轮换密钥需要跨项目执行。
• 边界防御与分层隔离缺陷：开发者机器和 CI 环境若直接持有钱包、部署和云凭证，恶意 SDK 运行后会同时影响链上资产与工程资产。

VERIZON DBIR 事件分类

• System Intrusion
• Use of Stolen Credentials

攻击路径与 MITRE ATT&CK 技术映射

事件五

GitHub ghost accounts：休眠账号与泄露 PAT 被用于系统性枚举企业代码组织

事件简介

• 事件概述：Datadog Security Labs 披露多个重叠活动正在通过 GitHub API 系统性枚举企业组织、仓库和用户账号。攻击者使用创建多年后长期休眠的 GitHub ghost accounts、自动化扫描工具、合法风格 user-agent，以及泄露或失陷的 OAuth token / PAT 来混入正常 API 流量。多数活动停留在公开信息枚举，但已有场景确认攻击者克隆了某组织的私有仓库。
• 事件时间：2026-07-09
• 事件链接：https://thehackernews.com/2026/07/dormant-github-accounts-help-attackers.html

• 影响范围：

• 影响在 GitHub 托管企业代码、CI/CD 配置、IaC、内部包和安全工具的组织

• 攻击使用超过 50 个休眠账号以及多组合法或失陷 token 进行低噪声枚

• 风险资产包括私有仓库、组织成员关系、代码依赖图、CI/CD 工作流、云部署脚本和密钥暴露线索

• 技术分类归属：开发者云平台 / 供应链侦察 / SaaS API 安全 / 凭证滥用

• 事件标签：云

事件背景与回顾

• 事件背景与架构形态：GitHub API 大量公开端点可匿名或低权限访问，攻击者可通过自动化查询组织仓库、成员、gists、starred repos、GraphQL 对象等信息，逐步构建企业代码资产图。休眠账号的年龄和低频活动让流量更接近正常用户。
• 时间线：Datadog 于 2026-07-09 公开相关研究，The Hacker News 同日报道。公开材料确认部分活动已经从枚举升级到私有仓库克隆。

事件根因深度分析

• 基础设施与云配置错误：组织往往把 GitHub 当作云端开发控制面，但对公开成员关系、仓库元数据、PAT 使用和异常 API 枚举监控不足。
• AI 供应链与存储缺陷：代码仓库中可能包含模型服务配置、AI Agent prompt、MCP 配置、IaC 与 CI/CD secret 线索，侦察结果可服务后续供应链投毒。
• 前沿算法/工程逻辑缺陷：自动化枚举工具可按组织结构和代码依赖快速生成攻击图，未来与 AI Agent 结合后会进一步降低侦察和投毒成本。
• 复合依赖与应急响应缺陷：一旦私有仓库被克隆，组织需要同时轮换代码中历史 secret、审查 CI/CD 权限、检查 OAuth 应用和识别下游供应链风险。
• 边界防御与分层隔离缺陷：GitHub 组织、包发布、云部署和内部工具链边界高度耦合，侦察阶段就可能暴露后续入侵路径。

VERIZON DBIR 事件分类

• System Intrusion
• Credential Abuse

攻击路径与 MITRE ATT&CK 技术映射

事件六

Helix：新型 vishing 组织利用 device-code phishing 窃取 SharePoint 数据

事件简介

• 事件概述：ReliaQuest 披露新数据勒索组织 Helix，其通过 vishing、device-code phishing 和 MFA 滥用入侵 Microsoft 365 账号，再注册新的 MFA 认证器维持访问，并枚举 SharePoint 站点与文件进行批量下载。该组织的强技术指纹是 SharePoint 自动化枚举与收集，公开材料还显示其战术与 ShinyHunters、BlackFile 有相似性。
• 事件时间：2026-07-09
• 事件链接：https://www.bleepingcomputer.com/news/security/new-helix-vishing-group-emerges-in-sharepoint-data-theft-attacks/

• 影响范围：

• 影响使用 Microsoft 365、SharePoint、Entra ID 和 device-code authentication 的企业

• 风险资产包括 SharePoint 文档、企业内部资料、客户数据、邮件身份、MFA 注册状态和后续勒索谈判筹码

• 已观察到攻击者使用 python-requests/2.28.1 user-agent 和特定 IP 对 SharePoint 执行自动化枚举与批量下载

• 技术分类归属：公有云身份层 / SaaS 数据面 / 社工攻击 / 数据勒索

• 事件标签：云

事件背景与回顾

• 事件背景与架构形态：Helix 首先通过电话冒充经理或内部人员，诱导目标完成 device-code phishing，随后进入 Microsoft 365 账号，注册新的 MFA 应用维持控制，再对 SharePoint 做站点搜索、通配符枚举和文件批量下载。
• 时间线：ReliaQuest 于 2026-07-09 公开 Helix 活动分析，BleepingComputer 同日报道。研究者认为 Helix 与已知数据勒索生态存在基础设施和手法重叠，但暂未给出确定归因。

事件根因深度分析

• 基础设施与云配置错误：许多组织未禁用或约束 device-code authentication，且对新 MFA 注册、异常 SharePoint 搜索和非托管设备访问缺少强监控。
• AI 供应链与存储缺陷：SharePoint 常存储 AI 项目资料、prompt、数据集说明、客户材料和内部知识库，被批量下载后可能为后续 AI 驱动社工或数据投毒提供素材。
• 前沿算法/工程逻辑缺陷：本事件未体现直接模型漏洞，但展示了云身份攻击如何绕过密码和传统 MFA，并利用自动化枚举快速触达高价值数据面。
• 复合依赖与应急响应缺陷：响应需要同时撤销 device-code 授权、清理 MFA 注册器、审计 SharePoint 下载、检查邮箱规则和识别勒索数据范围。
• 边界防御与分层隔离缺陷：一旦 Microsoft 365 用户身份被接管，SharePoint、Teams、OneDrive 和邮件之间的高连通性会把账号失陷放大为企业数据面失陷。

VERIZON DBIR 事件分类

• Social Engineering
• Credential Abuse
• System Intrusion

攻击路径与 MITRE ATT&CK 技术映射

内容编辑：浦明

责任编辑：吕治政

本公众号原创文章仅代表作者观点，不代表绿盟科技立场。所有原创内容版权均属绿盟科技研究通讯。未经授权，严禁任何媒体以及微信公众号复制、转载、摘编或以其他方式使用，转载须注明来自绿盟科技研究通讯并附上本文链接。

关于我们

绿盟科技研究通讯由绿盟科技创新研究院负责运营，绿盟科技创新研究院是绿盟科技的前沿技术研究部门，包括星云实验室、天枢实验室和孵化中心。团队成员由来自清华、北大、哈工大、中科院、北邮等多所重点院校的博士和硕士组成。

绿盟科技创新研究院作为“中关村科技园区海淀园博士后工作站分站”的重要培养单位之一，与清华大学进行博士后联合培养，科研成果已涵盖各类国家课题项目、国家专利、国家标准、高水平学术论文、出版专业书籍等。

我们持续探索信息安全领域的前沿学术方向，从实践出发，结合公司资源和先进技术，实现概念级的原型系统，进而交付产品线孵化产品并创造巨大的经济价值。