事件经过
2026年10月27日，CSA发布了一份分析（作者来自Akto），认为开发者端点上的AI编码代理以开发者身份运行、持有开发者凭证，并接受其读取的任何内容的指令——使CLI/IDE成为新的攻击面。文中详细说明了间接提示注入（例如CurXecute CVE-2025-54135，一个被入侵的Amazon Q扩展）、时点审批的局限性（自动更新扩展、MCP服务器获取最新包、postmark-mcp 15个干净版本后被恶意版本替换的案例），以及第三方AI风险审查的空白（82%的企业存在未知AI代理；53%的企业曾见过代理超出权限）。它提出了一个治理模型：盘点每个代理/扩展/技能/MCP服务器，运行带固定版本的已批准MCP注册表，按OWASP代理指南应用最小代理权限，对提示和工具调用设置护栏，将机密移至保险库，将规则文件/配置视为代码，记录每个工具调用，并指定单一负责人。
影响分析
这揭示了一个未被充分关注的代理攻击面——AI编码代理及其扩展/MCP生态系统——以及时点第三方审查的失败模式，而大多数供应商风险程序并未覆盖这一领域。它为大规模推广AI编码助手的组织提供了实用的、符合OWASP的治理控制。
建议行动
将第三方AI风险审查扩展到代理扩展、技能和MCP服务器；对编码代理实施已批准/固定版本的MCP注册表及最小代理权限；记录并监控每个工具调用，并将提示/文件视为不可信输入。