你让 AI 帮你审一段陌生代码，就想看看它有没有毒。结果它把毒给运行了。😳
AI Now Institute 在 7 月 8 号放出一个叫 “Friendly Fire” 的攻击 PoC，研究员 Boyan Milanov 和 Heidy Khlaaf 做的。一句话说清：Claude Code、Codex 这类会自动执行命令的 coding agent，能被骗着去跑它本该帮你揪出来的那段恶意代码。
「攻击长这样」
攻击者拿一个正常的开源库（demo 用的是 geopy），塞进三样东西——一个 security.sh 脚本、一个叫 code_policies 的恶意二进制、再加一个假的 code_policies.go 源码当幌子。然后在 README 里轻描淡写地写一句”跑 security.sh 做安全测试”。你让 agent 审这仓库，它读到 README，觉得这脚本”挺合理”，就自己跑了——恶意二进制跟着启动。🐍
「为什么防不住」
最扎心的是门槛。研究员原话：整个 PoC”只需要 Claude Code 或 Codex 的开箱默认配置”，不需要 hooks、skills、plugins、MCP server 或任何自定义文件。也就是说，锅不在某个冷门插件，就在默认行为本身。再往深一层，坑在于 agent 分不清”要审查的数据”和”给自己的指令”——README 里那句话，把”去运行这个脚本”悄悄包装成了任务的一部分，它就照做了。
「什么情况下会中」
唯一前提，是你开了 auto 模式——那个”不用每条命令都点确认、agent 觉得安全就自己执行”的 YOLO 开关。测试也不是随手挑的：Claude Code 四个版本分别配 Sonnet 4.6、Sonnet 5、Opus 4.8，Codex 配 GPT-5.5，全部中招。
「你现在该做的」
别把它当成”又一个等官方打补丁的漏洞”。研究员的建议冷得很直接：只要 agent 有执行代码的能力、又要去碰不可信的数据，就别让它自动来。补丁救不了你，工作流才行——auto-approve 关掉，陌生仓库先过一遍人眼，别图那点省事。🛡️
这也不是孤例。就在两天前，还有个叫 GitLost 的攻击，把 GitHub 的 AI agent 骗去泄露私有仓库——同一个星期，同一类”agent 被仓库里的内容牵着走”的问题，换了两种姿势冒出来。
说到底，一个能自动跑命令的 agent 加一个陌生仓库，等于你把审判权交给了一段自己压根没读过的 README。🫠
关注 @svtransit1 · 写给真在用 AI 的人
来源 · 评论区取 ↓
#AI #ClaudeCode #AI安全 #AIagent
原始来源：https://ainowinstitute.org/publications/friendly-fire-exploit-brief
关注 @svtransit1 · 每 3 小时一篇 AI 前线 · RSS