一命令將開源專案變AI代理後門

🔑 增強重點摘要

• •CLI-Anything 的漏洞核心在於其自動化解析 SKILL.md 時缺乏對指令執行權限的沙盒隔離，導致惡意指令可直接存取宿主機的環境變數與 SSH 金鑰。
• •資安研究人員發現攻擊者已開始利用 GitHub 的『Fork-and-Poison』策略，將惡意 SKILL.md 植入熱門開源專案的 PR 中，誘騙開發者合併以擴大代理中毒範圍。
• •Cisco Talos 團隊指出，此類攻擊利用了 AI 代理對『提示詞注入（Prompt Injection）』的盲點，將語意層的指令誤判為合法的開發工作流程，導致傳統防禦機制失效。

🛠️ 技術深入

• •攻擊向量：利用 CLI-Anything 的自動化工具定義（Tool Definition）解析器，該解析器會將 SKILL.md 中的 Markdown 區塊直接映射為可執行的 Shell 指令。
• •規避機制：透過在 SKILL.md 中嵌入隱藏的 Unicode 字元或編碼混淆，繞過靜態分析工具（SAST）對關鍵字（如 'rm -rf' 或 'curl'）的偵測。
• •語意層漏洞：AI 代理在執行 MCP（Model Context Protocol）時，缺乏對工具調用鏈的上下文驗證，使得攻擊者能透過偽造的工具描述提升代理的執行權限。

🔮 前景展望AI analysis grounded in cited sources

⏳ 時間線