事件经过
Elastic的季度威胁报告确认野外攻击者正在滥用已批准的AI编码代理和桌面AI应用作为命令执行和凭据泄露shell，并重建了Hugging Face恶意数据集链（HDF5外部存储页面暴露环境机密，加上Jinja2模板注入），该链在凭据窃取后实现了横向移动。报告指出代理型入侵仍可通过代理接触的进程、凭据和网络路径进行追踪。
影响分析
这是野外验证，表明供应商签名的AI代理是真实、当前的入侵表面：因为代理持有凭据并能访问互联网，其背后的攻击者活动看起来像被批准员工自己的使用，使其难以区分且容易被遗漏。它还将官方AI平台工具（数据集）与代码执行供应链向量联系起来。
攻击途径
Elastic的首份“threats,etc”报告（发布于2026-11-05）记录了已确认的入侵事件，攻击者将供应商签名的AI代理作为“明确可信的父进程”驱动：通过RDP在其VS Code扩展中运行Claude Code，并使用ChatGPT桌面应用作为shell命令代理来读取内部文档和转储登录钥匙串。代理会话以权限绕过标志（例如--allow-dangerously-skip-permissions）启动，建立Cloudflare快速隧道并安装持久性LaunchAgents。它还重建了Hugging Face事件链，其中恶意数据集通过HDF5外部存储页面暴露环境机密和工作线程源代码，以及Jinja2模板注入来滥用数据集处理管道。
受影响系统
AI编码代理（通过VS Code扩展的Claude Code、ChatGPT桌面应用）和Hugging Face数据集处理管道（HDF5外部存储 / Jinja2模板注入）
缓解措施
将已批准的AI代理视为受监控的攻击表面，而非可信终点：监视代理生成的子进程，限制/限定代理权限而非广泛使用绕过标志，约束出站访问，并在运行前验证任何加载的具有远程代码/Jinja2功能的数据集。