六大AI編程助手現高危漏洞，攻擊者可靜默獲取SSH權限

安全研究公司 Wiz 于 7 月 8 日披露名為“GhostApproval”的高危漏洞，指出六款主流 AI 編程助手存在被誘騙風險，攻擊者可在開發者機器上靜默寫入受控 SSH 密鑰。即便工具設有審批對話框，攻擊仍可通過顯示無害文件名掩蓋真實寫入路徑而得逞。目前，Augment 和 Windsurf 尚未發布補丁。

GhostApproval 原理與受影響范圍

受影響的六款工具包括：Amazon Q Developer、Anthropic Claude Code、Augment、Cursor、Google Antigravity 以及 Windsurf。這些工具在專業開發者中普及率極高。

攻擊核心在于利用 Unix 系統中的符號鏈接（symbolic link）。攻擊者構建一個看似普通的配置文件（如 project_settings.json），實則將其指向敏感系統文件 ~/.ssh/authorized_keys。當 AI 代理按指令向該“配置文件”寫入內容時，操作系統會跟隨符號鏈接，將攻擊者的 SSH 公鑰寫入授權列表。若開發者機器開放 SSH 訪問，攻擊者即可獲得持久遠程控制權，且全程無異常提示。

另一種變體則將惡意載荷植入 ~/.zshrc 等 Shell 啟動文件，實現無需 SSH 即可持久執行代碼。

“人在回路”安全模型失效

GhostApproval 的關鍵突破點在于欺騙了本應作為安全防線的權限提示。當 AI 代理準備寫入文件時，審批對話框顯示的是符號鏈接名稱（無害的配置文件），而非真實目的地（系統敏感文件）。開發者點擊“接受”時，實際授權了對系統文件的修改。

在測試中，Claude Code 的內部推理鏈雖正確識別出文件異常，但該信息并未同步至用戶界面。Wiz 研究員 Maor Dokhanian 指出：“當代理展示一種行為卻執行另一種行為時，用戶批準毫無意義。確認對話框從安全控制退化為形式?！边@種批準顯示層與內部推理的解耦，構成了結構性安全缺口。

部分工具的問題更為嚴重：Windsurf 在彈出對話框前已完成寫入，按鈕僅具撤銷功能而非攔截關卡；Augment 甚至未顯示任何對話框，可靜默讀取項目外的 AWS 憑證。

廠商回應：三家修復，兩家沉默，一家爭議

Wiz 于 2026 年 2 月提交報告，經 90 天協調披露后于 7 月 8 日公開。廠商回應分化明顯：

• Amazon Q Developer：已在語言服務器版本 1.69.0（2026 年 5 月 27 日部署）中修復 CVE-2026-12958。另修補了 CVE-2026-12957，防止惡意倉庫自動加載配置竊取憑證。
• Cursor：在版本 3.0（2026 年 6 月 5 日發布）中修復 CVE-2026-50549，并致謝 Wiz 與 Cato AI Labs。
• Google Antigravity：在版本 1.19.6（2026 年 5 月 22 日部署）中修復，CVE 待定。
• Augment 與 Windsurf：均承認收到報告，但截至發稿未發布補丁或時間表。
• Anthropic：認為該場景超出當前威脅模型，主張信任倉庫并批準編輯是用戶自主決定。不過，Claude Code 早在 2026 年 2 月 5 日的版本 2.1.32 中已加入符號鏈接警告，作為內部主動加固。

爭議焦點在于：若 UI 誤導用戶，形式的同意是否有效？MITRE CWE-451 標準將“關鍵信息的用戶界面誤述”列為正式安全弱點，支持反對觀點。

同類漏洞頻發，攻擊基礎設施已活躍

GhostApproval 并非孤例。2026 年 5 月，Adversa AI 披露名為 SymJack 的類似漏洞，影響包括 GitHub Copilot 在內的六款工具，所有廠商最初均拒絕歸類為漏洞，隨后 Anthropic 等更新了防護。Cato AI Labs 也以 DuneSlide 為名獨立發現了相同模式。Acceligence CEO Justin Greis 評論稱，這表明行業面臨全類別的設計挑戰，而非孤立錯誤。

盡管 GhostApproval 本身未被觀測到實戰應用，但利用 AI 代理配置文件的攻擊已成現實。歸因于 TeamPCP 組織的 Miasma 蠕蟲自 2026 年 6 月 1 日起活躍，曾通過惡意提交向 Microsoft Azure GitHub 組織倉庫植入憑證收集載荷，影響 73 個倉庫。該載荷搜尋 AWS、Azure、GCP 等云憑證及開發者工具鏈數據，且因無需安裝包，常規漏洞掃描無法檢測。

開發者應對建議

立即行動： Amazon Q Developer、Cursor 和 Google Antigravity 用戶請確認已更新至最新修補版本。若網絡阻止自動更新，需手動重裝或重載 IDE。

緩解措施： Augment 和 Windsurf 用戶在補丁發布前，應避免對不受信任的倉庫運行 AI 代理。所有用戶均建議在容器或沙箱中運行代理，限制文件系統訪問權限，使符號鏈接指向無效路徑。此外，養成審查倉庫 README 及配置文件的習慣，并在會話后檢查 ~/.ssh/authorized_keys 和 ~/.zshrc 等敏感文件的時間戳，排查異常寫入。

修復方向： Wiz 建議開發商在生成審批對話框前解析符號鏈接至規范路徑，確保用戶看到真實寫入目的地；對 workspace 外的寫入操作發出醒目警告；并強制執行“先批準后寫入”規則，杜絕預授權寫入模式。

常見問題解答

哪些工具已修復 GhostApproval 漏洞？

Amazon Q Developer（v1.69.0+）、Cursor（v3.0+）和 Google Antigravity（v1.19.6+）已發布修復。Augment 和 Windsurf 暫未修復。Anthropic 雖質疑漏洞定性，但已在 v2.1.32+ 中加入符號鏈接警告。

符號鏈接如何導致 SSH 權限泄露？

惡意倉庫中的無害文件名實為指向 ~/.ssh/authorized_keys 的符號鏈接。AI 代理寫入該文件時，系統跟隨鏈接將攻擊者公鑰注入授權列表。攻擊者隨后可免密登錄開發者機器，全過程無需特殊權限或代碼執行。

為何開發者批準了寫入仍算漏洞？

批準編輯“配置文件”不等于批準修改“系統密鑰文件”。當 UI 展示信息與實際操作不符時，用戶無法做出知情決策。這屬于 CWE-451 定義的“關鍵信息 UI 誤述”，如同瀏覽器必須顯示真實域名以防釣魚。

運行 AI 代理后應檢查哪些文件？

重點檢查項目目錄外的敏感文件，如 ~/.ssh/authorized_keys、~/.zshrc/~/.bashrc 及 AI 工具配置文件。若發現時間戳異常變動，可能表明遭受寫入攻擊。若懷疑中招，應立即輪換 SSH 密鑰及云憑證。特別是在 2026 年 6 月 2 日至 5 日期間接觸過 Microsoft Azure GitHub 倉庫的用戶，建議全面輪換憑證。

【星途科訊 圖文丨三一一 首發于ZAKER科技，轉載請注明出處】