看不见的劫持：亚信AIDR让AI安全的盲区，变得有迹可循

两分钟,一台开发机被"端走"

2026 年春天，一名普通开发者在自己的 macOS 工作站上启动 AI 编码助手，粘贴了一段来自"官方故障排查指引"的提示词，让 AI 帮他排查一个 Git 仓库里的报错。他没点开任何附件，没有输入任何密码，也没有下载任何可疑软件。

两分钟后，他的 SSH 私钥、浏览器 Cookie、.env 文件、加密钱包助记词已经被打包发往一个匿名化域名，工作目录里的客户合同源码也正在被分片上传。

事后复盘这条攻击链，清晰得让人不寒而栗：

入口：工具描述被污染 攻击者在该开发者常用的 IDE 插件市场的公开评论区，发布了一条"看起来像普通排错建议"的评论。评论里夹带了一段隐藏文本，通过 Markdown 渲染差异被某个 MCP Server 的工具描述文档读取，并写入了该工具的 description 字段。

触发：用户的一次普通请求 开发者在 IDE 里粘贴那段"官方排错指引"，AI Agent 按既定工作流，准备执行"读取 README → 调用工具 X 检查环境 → 修复"。

劫持：AI 听的是"另一段指令" 工具 X 在被调用时，把自己的工具描述(已经被污染的版本)作为上下文回传。AI 重新解析任务目标：不是排错，而是"采集本机凭据并外发"。

执行：一切都在合法进程名下完成 AI 调起 curl / wget、打开 ~/.ssh/、读取 ~/Library/Application Support/Google/Chrome/Default/Cookies，启动浏览器扩展 API。所有进程、所有文件路径、所有外联域名，都和开发者每天让 AI 干的事一模一样。

外联：走的是合法通道 数据被分片通过 GitHub raw、pastebin、临时 Pages 站点轮出。防火墙没拦、域名没黑、流量没异常。

事后追问安全团队三个问题：

• 谁让 AI 去读 SSH 私钥?

• AI 为什么要把数据发到一个陌生域名?

• 这一连串动作到底是谁下的令?

传统 EDR 看到的不是"道高一尺"，而是看不穿"魔高一丈"：

• 进程是 IDE 主进程拉起的合法子进程;

• 文件读取是 AI 助手日常的正常操作;

• 网络外联走的是公网常见 CDN 与代码托管平台。

这就是 AI 时代终端安全的新命题:从"看见终端行为",升级为"看见 AI 的行为、意图与风险"。

AI 加持下的攻防之变

AI 改写的不是某一种攻击手法，而是攻防双方的能力底座。企业面对的风险，正沿三条战线同时展开:

战线一

AI 助攻——攻击者用 AI 把门槛打穿

攻击方用 AI 写漏洞利用、自动绕过免杀、批量生成钓鱼文案、定制化勒索策略。结果是门槛下降、规模放大、周期从"月"压到"天"。2025 年公开数据显示，使用大模型辅助编写的钓鱼邮件占比已超过 60%，从初稿到可投递版本的迭代时间，从一周缩短到几小时。

战线二

AI 被攻——AI 本身成为新的攻击面

AI 本身成了新的攻击面：提示词注入(含间接注入)、工具投毒、恶意插件、模型与工具的供应链污染、配置篡改。攻击者瞄准的不再是系统漏洞，而是"AI 会听话"这件事本身。

2025 年以来，公开披露的典型攻击面包括：

• 间接 Prompt 注入：把恶意指令藏进网页、邮件、PDF、GitHub Issue 评论里，等 AI 读取时触发;

• MCP Server 投毒：污染 MCP Server 的工具描述、参数说明，让 AI 在"听工具的话"时执行恶意动作;

• 模型供应链污染：发布带毒的 LoRA / System Prompt 模板 / 预训练数据切片;

• RAG 数据投毒：污染知识库索引，让检索结果里夹带恶意指令。

这些攻击有一个共同点：全程不需要用户点击、不需要用户输入密码、不需要用户安装任何软件——只要让 AI 看到那段话，就够了。

战线三

AI 成为突破后的放大器

AI Agent 同时具备攻击者梦寐以求的三样东西：合法身份(登录用户)、执行能力(任意命令 / 网络出口)、上下文访问权(凭据、Cookie、源码)。三者叠加，AI 一旦被劫持，就不再是"工具"，而是攻击者在企业内部网络的代理身份。

传统终端安全的逻辑建立在两个前提上：

• 看得见动作：进程、文件、网络都能被捕获;

• 看得见结果：异常行为会产生明显副作用。

但在 AI Agent 场景下，这两个前提同时失效——AI拉起的进程是合法子进程，AI 的行为映射到"完成什么任务"，而不是"做了什么破坏"。

这就是 AIDR 要解决的问题：不止看见终端行为，而是看见 AI 本身的行为、意图与风险。

AIDR如何防住外部攻击？

终端防护五步闭环

回到开头那个攻击链。如果用AIDR终端方案守护这台开发机,故事会怎么改写?

安全的本质没变

变的只是"谁在动手"

回看开头那个案例，攻击者不再只是攻击"人"和"终端"，而是攻击 AI 的意图、上下文和工具链。

安全的本质从来没有变过——控制的核心不是技术，而是"谁，能在什么范围内，对什么动手"。

过去这个问题的答案里只有两类主体："人"和"程序"。现在多了一类：会自己决定怎么动手的 AI。

终端侧AIDR方案要做的，就是守住 AI 安全边界，把三件事做好:

• 看得见主体：动手的是哪个 AI，它手里有什么能力;

• 看得懂意图：它为了什么任务做这件事，是否越界;

• 拦得住动作：越界时能在执行那一刻被阻止，并留下可回溯的证据。

看清AI资产 理解AI行为

识别真实风险 精准闭环处置

亚信终端AIDR方案

让 AI 更安全地创造价值