UIUC最新研究：12款主流AI编程助手被一锅端？隐藏后门能直接远程控制你的电脑！

🤚 停！别急着用AI编程助手review代码，尤其是陌生人的Pull Request。UIUC团队发现了针对AI智能体框架的新攻击方式，成功在Claude Code、Codex等12款产品上验证。攻击可操纵AI行为，甚至实现远程代码执行（RCE）。

什么是Agent Harness（智能体框架）？AI编程助手不是单独工作的大模型，而是一个系统：大模型负责思考，框架负责收集信息、调用工具、汇总结果。这层壳就是“Agent Harness”。

问题出在这层“壳”上。为了更“智能”，框架从各处抓取信息塞进上下文，包括指令、系统提示词、配置文件、技能说明、环境信息、工具返回内容等。

这些内容在发给大模型时带有不同“角色标签”，如system、developer、user、assistant、tool等，权限从高到低。大模型优先听从高权限角色指令，低权限角色内容不可信。UIUC团队发现，框架组装上下文时设计随意，导致脆弱性。这就像管家听从主人语气的话，推销员模仿主人的口吻说“记下这句话”，管家就真的记下了。

第一类攻击叫消息角色上下文权限提升（M-CPE），利用“角色错配”：低权限来源的恶意指令通过框架缺陷被写入高权限来源，模型误以为是系统指令而执行。

第二类攻击叫跨作用域上下文权限提升（X-CPE），利用“作用域错配”：恶意内容被写入长期记忆文件或全局配置，实现“持久化”，下次AI启动时依然生效。

论文不仅发现漏洞，还首次系统性研究AI智能体框架的上下文安全，提出16种新攻击向量。通过这些向量，可远程操纵智能体推理、行动，甚至获取主机控制权。

论文中给Codex CLI的上下文组装过程画了一张示意图（图1），展示AI如何在不同任务中组装上下文。关键在于不可信消息如何“篡改身份”进入高权限区域。

M-CPE相当于篡改红绿灯信息，X-CPE则是把恶意交通规则写进导航记忆卡。两种攻击常组合使用，形成威力巨大的漏洞链。

论文开发了上下文风险分析器CORA，分三步：静态分析、动态验证、自动化漏洞验证。CORA像渗透测试机器人，自动化分析框架上下文安全。

攻击面藏在哪里？论文梳理出16种攻击向量，分为三类：丰富多样的上下文来源、上下文标记、上下文组装逻辑。比如，Claude Code自动加载Git提交记录，恶意指令可藏在commit消息里。

比如上图的攻击结合了A-5和C-5两个向量。攻击者把恶意技能文件放在一个仓库/压缩包中，诱导AI（比如Claude Code）探索该目录。由于Claude Code存在运行时技能发现机制，它会自动加载该目录下.claude/skills里的SKILL.md文件，并且技能内容中某个特殊语法块可以被当作Shell命令直接执行。通过富文本特制的技能文件，就能绕过模型不能执行命令的限制，直接拿到一个Shell。整个过程不需要用户批准，因为AI认为它在执行一个普通技能而已。🤨 看到这里，是不是觉得防不胜防？

有了直观感知，咱们先把攻击这件事从“故事”变成“模型”。原文为了说清楚问题，给智能体做了一个非常朴素但有用的形式化定义：一个智能体 A 由大模型 M、一组工具 T 和动态上下文 C 构成。每一轮对话，模型根据当前上下文 C_i 输出要调用的工具 T_i，框架执行工具后，再把执行结果合并回上下文，得到下一轮的 C_{i+1}。整个过程不过三行公式：

论文创新性分数：★★★★☆

实验合理度：★★★★☆

学术研究价值：★★★★☆

稳定性：★★★☆☆

适应性以及泛化能力：★★★☆☆

硬件需求及成本：★★★☆☆

复现难度：★★★☆☆

产品化成熟度：★★★☆☆

可能的问题：现有材料尚未充分覆盖分布外泛化、部署成本、长期稳定性和失败案例。