2026 年 9 月初,Google Cloud Threat Intelligence Center 在同一天连发两篇报道,标题分别为 "Attackers are using prompt injection against coding agents" 与 "AI agents harvested credentials in under six hours",指向同一篇长文《From pr
2026 年 9 月初,Google Cloud Threat Intelligence Center 在同一天连发两篇报道,标题分别为 "Attackers are using prompt injection against coding agents" 与 "AI agents harvested credentials in under six hours",指向同一篇长文《From prompting to autonomy: the evolution of adversarial AI》;同期 Snyk 在 GitHub 上以 Apache 2.0 协议开源了 agent-scan v0.5/v0.6 系列,把对 agent components(MCP servers、agent skills、IDE 配置)的提示注入与凭据风险扫描做成了可被直接接进 CI 的命令行工具。两份一手材料合在一起,把"提示注入攻陷编码 Agent"这件事从单点攻击升级到了"开发生态供应链级别"的暴露面讨论,这正是这次选题被补足的全部理由。
Google Cloud 报道的关键事实
先看 Google 那边的关键事实。HN Algolia 上索引到的两则独立标题都指向同一篇长文:第一篇标题 "Google: Attackers are using prompt injection against coding agents" 给出明确的攻击面是"编码 Agent";第二篇标题 "Google: AI agents harvested credentials in under six hours" 则直接把"凭据窃取速度"具象化为"6 小时以内"——也就是说,在一个受测环境中,被提示注入劫持的编码 Agent 从暴露到完成凭据抓取,时间窗口短到 6 小时级别。第三篇 "Staying Ahead of Adversarial AI Through Agentic Source Code Review"(同一来源,2026-08-31)则把 Google 自家的应对方式摊开来看:用 agentic source code review(让 Agent 去审 Agent)来抢在攻击者前面识别有问题的代码片段,等于把攻防都放在了 Agent 层。这三篇合并的信号是:提示注入已经从"绕过模型拒答"这种内容层攻击,演化成"让 Agent 自己去找凭据、传外网、把仓库翻空"的端到端攻击,Google 把这条演化轨迹放进 Threat Intelligence 频道本身就是定级动作。
Snyk agent-scan 的工具面细节
再看 Snyk 这边的工具面细节。Snyk agent-scan 在 v0.5.x 阶段就明确列出 "MCP servers" 与 "agent skills" 两个新扫描维度,并把"Prompt Injection、Tool Poisoning、Tool Shadowing、Toxic Flows"四类 MCP 风险,以及"Prompt Injection、Malware Payloads、Untrusted Content、Credential Handling、Hardcoded Secrets"五类 agent skills 风险并列为可被自动发现的问题。到了 v0.6,Snyk 又把这套整合成 15 项独立打分卡,在 MCP 侧覆盖 "prompt injection、dangerous words、untrusted content、private data、destructive capabilities",在 skills 侧覆盖 "prompt injection、suspicious downloads、malicious code、credential handling、secret detection"。这一组数字的具体含义是:agent-scan 已经把"提示注入"从单一字符串搜索,扩展成了一组可被风险评分的多维度评估;当某个 MCP server 的工具描述里出现 dangerous words,或者某个 agent skill 里夹带了可疑下载链接,都会被独立打分并出现在扫描报告里。
两份材料合并读出的三条工程结论
把 Google 那边的攻击面叙事和 Snyk 这边的工具面叙事合起来,可以拆出三条这次选题必须讲清楚的工程结论。第一条,企业开发生态的暴露面已经从"代码仓库"扩大到了"agent components 全栈"。Snyk agent-scan 列出的支持扫描对象在 macOS / Linux / Windows 三个操作系统上都覆盖到了 Windsurf、Cursor、VS Code、Claude Desktop、Claude Code、Gemini CLI、Amp、Kiro、OpenCode、Antigravity、Codex、Amazon Q 这十几款主流 IDE/CLI,扫描维度则同时覆盖 System、User、Project/workspace、Extension/plugin 四个 scope。这意味着:任何一家公司只要工程师本地装了上述任意一款 IDE/CLI,理论上就至少有 4×N 个 agent 配置文件可能成为提示注入的入口,而这些入口过去基本不在 EDR/SCA 工具的扫描范围内。第二条,提示注入在 agent 语境里已经从"绕过模型"变成"让模型去偷凭据"。Google 那条标题里"harvested credentials in under six hours"已经把攻击时间窗口具象化,加上 agent-scan 把 "Credential Handling、Hardcoded Secrets、secret detection" 列为一等公民风险,这两件事指向同一结论:今天的 Agent 可以用工具调用直接读取 ~/.aws/credentials、读取 ~/.kube/config、读取 .env 文件,只要 Agent 被一段注入提示劫持,这类读取动作几乎是无成本的。第三条,Skill/MCP 生态已经是新的供应链层。Snyk 把 agent skills 与 MCP servers 单独提出来作为扫描对象,并把"恶意下载"、"恶意代码"、"Tool Poisoning"、"Toxic Flows"列出来,这意味着在 Agent 语境里,"安装一个 Skill"和"接入一个 MCP server"在攻击者眼里与"引入一个 npm 依赖"是同等级的供应链风险面。
三个具体的工程问题与应对
围绕这三条结论,选题需要进一步回答几个工程问题。第一个问题是"应该如何审视已经在企业内部署的 Agent 工具"。最小动作是用 Snyk agent-scan 跑一遍本地工程机的扫描,得到一份具体的 MCP server + agent skill 风险清单;最大动作是把 agent-scan 接到 CI 或 MDM 流水线里,在 Snyk agent-scan v0.6 的 Background Mode (MDM) 里已经支持"在公司范围内定期扫描并把结果上报 Snyk Evo 实例",这意味着它可以直接当作"Agent 供应链的 SCA"使用。第二个问题是"如何设计 Agent 工具调用层"。答案是工具调用最小化:把任何"既能读 A 也能读 B"的复合工具拆开,任何涉及凭据/密钥的读取动作单独路由并强制要求人在回路中确认;同时把 agent 的工作目录隔离在 sandbox 中,以避免 ~/.aws/credentials 这种默认路径被工具调用一次性拿到。第三个问题是"如何评估 agent skills 本身的安全性"。这一步没有银弹,但可以走"先看来源 + 再看签名 + 最后扫内容"的三段式:只允许从官方 registry 或有签名校验的渠道安装 skills,把 Snyk agent-scan 这类工具集成进 pre-commit / pre-install 钩子,在 sandbox 里先静态跑一遍再决定是否安装到工程机。
行业层面对企业 CISO 的信号
从更宏观的视角看,Google 那篇报道与 Snyk agent-scan 的开源几乎是同时间发生,这件事给企业 CISO 释放出一个非常清晰的信号:行业已经默认了"提示注入攻陷编码 Agent"是一件正在发生、并且在 6 小时级别就能完成凭据窃取的事;同时行业也已经默认了"对抗这件事不能只靠模型层防护,必须落到工具链和供应链层"。这两件事合在一起的产物,就是把企业开发生态的暴露面,从过去的"代码仓库 + 依赖"扩展到了"代码仓库 + 依赖 + Agent 工具 + Agent skills + MCP servers",一共五个层次的攻击面。
回到题目:为什么这次选题重要
回到题目本身,"Google 警告:攻击者正在用提示注入攻陷编码 Agent,以及企业开发生态的暴露面"这道选题之所以重要,正是因为它把两件不同维度的事在同一段里讲清楚了:一是攻击者已经具备的能力(用提示注入劫持编码 Agent、6 小时内窃取凭据);二是防守方已经具备的工具(Snyk agent-scan 的 15 类风险评估 + Background Mode 的企业级扫描)。这一对组合给企业 CISO 的直接提示是:不要再用"模型是不是会拒答"去评估 Agent 安全,改用"模型被注入后能访问到多少凭据、能写到哪里、能不能被审计"这三个问题去评估;同时把 Snyk agent-scan 这类工具纳入与 EDR / SCA 同等级的标准工具栈,在每一个工程师的本机和 CI 上常态化扫描,而不是当作一次性 PoC。
下一步工作:把 Agent 安全纳入一等公民
最后,把两份一手材料、三个工程结论、三类行动方案拼在一起,这次的选题被补齐的也不仅仅是字数,而是把"提示注入攻陷编码 Agent"这件事从"安全研究员谈资"升级到"企业开发生态暴露面"的位置上——它意味着企业级 Agent 部署的产品方与 CISO 都必须把"Agent components 供应链"当作一等公民来治理,而不是再沿用"模型拒答即可"或"传统 SCA 即可"的旧框架。围绕这道选题展开的下一步工作,是把 Snyk agent-scan 与具体的 CI/MDM 流水线打通,并在企业内部署前先跑一份本地扫描结果,把"被注入后能访问到哪些凭据"这道题用数据回答出来——这才是企业开发生态真正进入"Agent 安全已就位"阶段的第一道分水岭。