AI与云安全事件案例分析周报2026.10.12 - 2026.10.16
原创 星云实验室 2026-10-16 22:03 北京
涉及组织与应用：Langflow 是搭建 AI 应用和智能体流程的开源平台，MCP 用于让智能体连接外部工具，Langflow 项目维护方披露执行缺陷，Previdian 通过蜜罐记录其利用活动。
事件概述：攻击者身份未归属。Previdian 发现，有人持续攻击 Langflow 的工具连接配置功能。Langflow 让用户通过 MCP 连接工具，其中 stdio 方式需要在服务器启动一个本地程序；漏洞在于普通登录用户也能填写启动命令，平台未经充分限制便交给系统执行，而且查看工具列表就会触发。攻击者因此可以把一项看似普通的工具配置变成服务器命令入口。厂商已在 1.9.0 修复；截至配图时复核，蜜罐记录到 1,795 次利用尝试，但这些请求不能等同于 1,795 台真实服务器失陷。
事件时间：蜜罐首次观测为 2026-09-19；10 月 12—16 日持续记录请求，10 月 15 日媒体披露具体攻击序列，10 月 16 日核验动态统计。
事件链接：
影响范围：
CVE-2026-105740；维护方公告列出的受影响版本为 1.8.3、修复版本为 1.9.0；Previdian 将范围概括为 1.9.0 之前，部署方应结合具体版本公告判断。
执行权限继承 Langflow 服务进程，不能一概写成宿主机 root；后续能否触及宿主、云身份或数据库取决于挂载与权限。
10 月 16 日配图时，Previdian 页面显示 1,795 次尝试、28 个来源 IP、1 个观测传感器；这是单一观测系统的累积快照，不是全球攻击规模。
技术分类归属：应用层 / 编排层 / Agent层 / 基础设施层
事件标签：AI相关
图示说明：这是 Previdian 原始遥测区的逐日利用尝试图，以原始 HTML 与样式保留后截取，数据未重绘或改写；图中显示 10 月 11 日后请求明显增多。它证明该研究方传感器持续接收到利用请求，不能证明相应数量的真实服务器失陷，也不能凭来源 IP 完成攻击者归因。截图为 10 月 16 日配图时的动态快照。来源：https://previdian.com/CVE-2026-105740
架构形态：MCP 的 stdio 连接方式本身允许启动本地工具，安全关键是“谁能配置、在哪执行、能带入哪些环境变量”。Langflow 将面向应用用户的配置能力与服务器执行权限连在一起。
攻击路径：获得普通账户 → 写入 MCP 启动配置 → 获取服务器列表触发连接 → 服务进程启动攻击者指定程序 → 配置留存并在后续访问时再次触发。
本周证据增量：THN 引述研究方记录的一次序列显示，自动登录接口被拒绝后，攻击者用常见用户名和密码完成登录，再进入 MCP 配置接口；不能把本漏洞写成无需认证。
基础设施与云配置错误：公网可达和弱口令让“需要登录”的缺陷仍可成为外部入口；但公网暴露不是代码缺陷的必要成因，内网普通账户同样需要隔离。
AI 供应链与存储缺陷：工具启动配置保存于项目设置，日常只审查可视化流程容易漏掉它；配置应按可执行代码管理和审计。
前沿算法/工程逻辑缺陷：服务端把用户提供的启动命令交给 shell，并接受影响子进程行为的环境变量；“新增工具”实际上具有执行代码的权限含义。
复合依赖与应急响应缺陷：升级后仍需检查既有工具配置及历史执行痕迹；仅改密码无法确认恶意配置、派生进程或泄露凭据已清除。
边界防御与分层隔离缺陷：把应用账户、工具配置者和系统执行身份视作同一信任层，放大了单个低权限账号的影响；应将工具运行放入独立、无宿主敏感挂载的受限环境。
System Intrusion（系统入侵）路径，伴随有效账户滥用：已有蜜罐利用活动与公开技术验证，但尚无可据此统计的真实受害组织名单。
以下映射区分观测活动与公告验证，不表示每次请求都完成全部步骤。
升级至包含该修复的受支持版本，禁用自动登录并清查普通账户；对外仅经受控身份入口开放。
联合回溯登录、MCP 配置变更、列表访问和子进程日志，重点排查新增工具配置后紧接 shell 或外联的序列。
工具命令采用明确的可执行程序和参数约束，限制环境变量与网络出口；不向工具运行环境挂载 Docker socket、云凭据目录或生产数据库管理员秘密。
涉及组织与应用：Claroty Team82 研究工业与物联网设备安全，Danfoss AK-SM 800A 用于管理商超制冷设备，Cursor 是 AI 编程工具，Claude Sonnet 4.6 在研究员指导下分析固件并复现已有漏洞。
事件概述：Claroty 研究员 Amir Zaltzman 把公开漏洞编号、设备固件和分析工具交给 Claude，测试 AI 能否重新构建冷柜控制器攻击链。智能体先复现两处问题，却在认证绕过上走错方向；研究员纠正路径并接入 Ghidra——用于查看程序内部逻辑的逆向分析工具——后，才完成绕过登录与命令执行的串联，在实验室设备获得最高权限。研究方称过程约 28 分钟、模型调用约 6 美元。这是复现旧漏洞的受控实验，法国商超实际攻击入口仍未确认，也没有证据证明现实攻击者使用了 Claude。
事件时间：2026-10-13 发布 AI 复现实验；同周法国制冷系统攻击构成研究背景，二者不合并归因。
事件链接：
影响范围：
实验围绕 AK-SM 800A 已披露的 CVE-2025-41450、CVE-2025-41451 和 CVE-2025-41452 展开，最终以认证绕过与命令注入取得实验设备 root 权限。
网络搜索发现的“数千个潜在暴露设备”不等于均可利用，更不等于已感染；本次实验也未给出新的受害门店统计。
28 分钟和 6 美元对应这一已知漏洞复现任务，不是对从零发现漏洞、生产入侵或无人协助能力的普遍基准。
技术分类归属：应用层 / Agent层 / 基础设施层 / Loop Engineering
事件标签：AI相关
图示说明：原始研究展示 check_code_of_day 函数读取设备当前日期并进入隐藏认证码的生成与比较逻辑，关键算法已由来源方打码。它帮助解释本周 AI 复现所涉及的认证绕过环节，但不能单独证明 28 分钟复现过程，也不能证明法国商超真实攻击采用了该路径。来源：https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
架构形态：制冷控制器把管理接口、固件程序和物理控制功能连在一起；接口失陷有可能影响设备运行，但设备最高权限与已造成物理损害仍是不同证据层级。
验证路径：获取公开固件与漏洞类别 → Agent 定位已知弱点 → 认证绕过分析失败 → 人工引导并提供逆向工具 → 复现登录绕过 → 组合命令注入 → 在实验设备验证 root 执行。
本周增量：研究重点从原始漏洞转向武器化门槛和人机协作成本；没有宣称发现新零日。
证据边界：原始研究明确说法国攻击的精确路径未确认；即使目标产品重合，也不能把实验链直接写成现实事故根因。
基础设施与云配置错误：设备管理面直接联网会扩大攻击机会；具体生产部署是否可达、是否已修复仍需逐台核对，不能根据搜索结果统一断言。
AI 供应链与存储缺陷：公开固件为分析提供材料，本身不是供应链投毒；企业防御不能依赖固件难以理解或产品冷门。
前沿算法/工程逻辑缺陷：认证与命令执行缺陷可以组合；AI 降低复现劳动，却没有消除逆向分析、结果验证和专业判断。
复合依赖与应急响应缺陷：漏洞已公开后仍只按传统周期排补丁，会给低成本复现留出窗口；风险处置需考虑实际暴露和可造成的工艺影响。
边界防御与分层隔离缺陷：运维入口不应直接通向设备高权限执行，设备管理网与业务网络、互联网入口均应有清晰隔离和访问审批。
研究性案例，按 System Intrusion 潜在路径分析：验证了认证绕过与命令注入，不将同期法国生产事故套用为已证实的同链路事件。
表中为实验对应动作；对物理工艺的攻击需另做 ATT&CK for ICS 分析，本条不推定已发生温控篡改。
关闭无需互联网访问的设备管理接口，通过受控网关访问；按设备用途建立专用运维网和最小权限账号。
对照厂商安全公告逐项验证补丁与配置，升级前评估停机和控制逻辑兼容性，保留可恢复的设备配置。
将已公开漏洞视为可快速复现的风险，优先处置“互联网可达、能修改运行参数、缺少独立告警”的组合；AI 研究结果必须在授权实验环境验证。
涉及组织与应用：GitGuardian 是凭据泄露监测与研究公司，GitHub Actions 是代码仓库中的自动构建和部署服务，GhostAction 操作者借被盗开发者账户植入伪装成安全审计的工作流，目标包括云、软件包平台和 AI 服务密钥。
事件概述：攻击者身份未归属。GitGuardian 于本周更新 GhostAction 调查：攻击者利用失窃的 GitHub 账户，在大量仓库加入“安全审计”自动任务，借任务读取部署凭据，并新增扫描完整 Git 历史的能力，寻找已经从当前代码删除但仍留在历史提交里的秘密。调查统计三万余仓库被针对，约 1,900 个账户被攻陷；这些是投递与账户统计，不等于每个仓库都成功泄密。平台自 10 月 9 日开始阻止相关工作流运行，10 月 12 日仍出现新投递，但该后续波次未能执行窃密。
事件时间：原文发布于 2026-10-07；10-13 的实质更新覆盖 10-08 至 10-12 新波次，故纳入本期而非把前周攻击改写为本周首次发生。
事件链接：
影响范围：
本轮被针对仓库超过 30,000 个，涉及约 3,000 个用户与组织、约 1,900 个被攻陷账户；“用户与组织”“账户”“仓库”不混为一种分母。
新波次试图提取 3,174 项公开仓库 CI 秘密，这是目标数量，不是全部确认外泄数量，也不能套用前一观测窗口的成功窃取统计。
载荷扫描云凭据、代码托管令牌和 AI 相关秘密；研究没有证明这些密钥全部有效或均被用于后续访问。
技术分类归属：供应链与 CI/CD / 云身份层 / 数据层 / AI服务凭据
事件标签：云AI融合
图示说明：GitGuardian 的前期观测图比较了恶意工作流引用的秘密名称，纵轴为相应秘密名称的所有者数量，显示 SSH 私钥、DockerHub 令牌、AWS 密钥等部署凭据是收集目标。图对应原报告前期样本，不能用于计算 10 月新波次的成功外泄数量，也不代表图中所有凭据均有效；图片未包含实际密钥值或账户身份。来源：https://blog.gitguardian.com/ghostaction-github-actions-supply-chain-attack-returns/
架构形态：开发者账户的仓库写权限能够影响自动化任务；工作流运行身份又可能读取仓库秘密并访问部署目标，使一次账号失窃跨越代码、云和模型服务。
攻击路径：失窃 GitHub 凭据取得写权限 → 植入或更新伪装工作流 → 自动任务获取 CI 秘密 → 扫描工作区及提交历史 → 提取云密钥及上下文 → 向外部 HTTP 端点发送。
本周增量：10 月 13 日更新给出新规模、载荷演化和历史扫描上下文功能，并记录 10 月 12 日波次遭阻止；这超过重复转述，满足续报条件。
证据边界：GitHub 的工作流阻止是执行层处置，不能据此断言失窃账户凭据已撤销、历史恶意文件已清理，或全部既有密钥均已轮换。
基础设施与云配置错误：代码平台账号和自动化身份之间权限耦合过强；若长期密钥可被任意新工作流读取，仓库写入能力就会放大为生产访问能力。
AI 供应链与存储缺陷：AI API key 与传统云、软件包凭据一起进入脚本扫描范围；Git 历史保存旧秘密，使“删除当前文件”无法完成凭据撤回。
前沿算法/工程逻辑缺陷：这是脚本化凭据窃取，不是已证明的 AI 自主攻击；AI 关联来自被盗目标及后续潜在使用面，不能因标题含安全审计就信任任务。
复合依赖与应急响应缺陷：账户入口、仓库恶意配置和下游秘密属于不同处置对象；只轮换流水线秘密而保留失窃 GitHub 令牌，仍可能被再次植入。
边界防御与分层隔离缺陷：敏感环境应把代码提交与生产秘密访问分开，经独立审批后才发放短期、最小范围的运行身份。
System Intrusion（系统入侵）/ 有效账户滥用：被盗开发者身份驱动代码平台与 CI 数据收集，公开统计仍需区分被针对、已执行和成功外泄。
回溯 .github/workflows/ 的新增与修改，结合工作流运行记录判断是否执行；未运行的投递也要撤销其账户入口。
同时撤销失窃 GitHub 令牌、轮换 CI 秘密及云/AI 密钥，并检查后续调用和部署；从代码中删除秘密不能使旧值失效。
生产环境使用受保护环境审批和短期联合身份，按任务限制秘密范围与出站目的地址；对“安全审计”任务保持与业务工作流相同的审查强度。
内容编辑：浦明
责任编辑：吕治政
本公众号原创文章仅代表作者观点，不代表绿盟科技立场。所有原创内容版权均属绿盟科技研究通讯。未经授权，严禁任何媒体以及微信公众号复制、转载、摘编或以其他方式使用，转载须注明来自绿盟科技研究通讯并附上本文链接。
关于我们
绿盟科技研究通讯由绿盟科技创新研究院负责运营，绿盟科技创新研究院是绿盟科技的前沿技术研究部门，包括星云实验室、天枢实验室和孵化中心。团队成员由来自清华、北大、哈工大、中科院、北邮等多所重点院校的博士和硕士组成。
绿盟科技创新研究院作为“中关村科技园区海淀园博士后工作站分站”的重要培养单位之一，与清华大学进行博士后联合培养，科研成果已涵盖各类国家课题项目、国家专利、国家标准、高水平学术论文、出版专业书籍等。
我们持续探索信息安全领域的前沿学术方向，从实践出发，结合公司资源和先进技术，实现概念级的原型系统，进而交付产品线孵化产品并创造巨大的经济价值。
本文转载自微信公众号「绿盟科技研究通讯」，查看原文。版权归原作者所有，如有侵权请联系删除。