一千多美元、两周时间，智能体偷走苹果签名证书和19万游戏凭证：AI干活的安全账，谁来记

11月第一周曝光的一起攻击事件里，一个操作者驱使自主智能体连续运行两周，总成本只有一千多美元，就偷到了苹果签名证书和19万个《王者荣耀》玩家凭证。同期a16z的安全报告给出更冷的数据：数百个智能体从零到首次成功入侵平均不到4小时，攻击窗口提前到漏洞披露前7天，而企业平均修复时间还需要43天。当攻击者的成本降到一千美元、时间窗口拉长到两周，安全不再是大厂专属议题。本文拆解这轮攻击的运作方式，给正在用AI工具干活的Java团队一张安全自查清单。

一、事件还原：两周、一千多美元、一次长周期渗透

这次攻击的细节值得逐条过一遍：操作者没有手写一行攻击代码，全程驱使自主智能体执行；攻击周期两周，不是一锤子买卖，更是持续渗透；总成本一千多美元，大致相当于两个开发者一天的薪资；战果是苹果签名证书和19万个王者荣耀玩家凭证。

低成本加长周期，这个组合改变了攻防的算术。传统渗透测试公司做一次同等级别的行动，报价以数十万计；智能体把它压到了一千美元量级。更麻烦的是周期——两周的持续运行意味着攻击者可以慢慢试错，今天被拦了明天换个姿势再来，而防守方的安全团队每周只看一次告警。

同一周，安全社区还曝光了一个针对Agent工作区的新型恶意载荷：病毒伪装成AGENTS.MD文件——这是众多编程工具默认会读取的项目说明文件——把恶意指令藏在里面，等智能体自己读进来、自己执行。攻击目标从「人的电脑」变成了「智能体的工作区」，防线要重新画。

二、a16z把攻防时间账算清了：4小时对43天

a16z报告里的三组数据构成一条完整的压力曲线：数百个智能体从零开始到首次成功入侵，平均用时不到4小时；攻击窗口提前到漏洞披露前7天——漏洞还没公开，利用代码已经在路上；企业平均修复时间是43天。4小时对43天，攻防两端的速度差了一个数量级。

这组数字对Java团队的具体含义是：依赖漏洞的披露周期不再是安全缓冲。你们的Maven依赖树里，每一个第三方库的CVE都可能在你看到公告之前就被智能体批量扫描和利用。传统的月度安全扫描节奏，和4小时的攻击节奏完全对不上。补丁管理、依赖升级的响应速度，得按天算，不能按月算。

报告还有一个隐含判断：智能体降低了攻击的技术门槛，安全攻防的胜负手从「谁的技术强」转向「谁的流程快」。防守方拼的不是写更好的防火墙规则，更是把「发现-响应-修复」的链路压缩到攻击者完不成两周渗透的长度。

三、Java团队的四条防线：从凭据到代码路径

2.1 管好凭据和会话文件

第一优先级是凭据。10月底接连曝光的事件已经证明，AI编程工具的本地会话文件、配置文件正在成为窃取目标——木马程序专门翻找各类AI工具的密钥与会话文件。Java团队的自查动作：.env、application.yml里的数据库密码和云服务AK/SK有没有出过域；AI工具的token存在哪里、谁能读；CI/CD的凭证是不是长期有效不轮换。19万游戏凭证被偷的案例提醒我们，凭据泄露的规模上限很高。

2.2 代码路径的本地化与AGENTS.MD类文件的审查

第二条防线是代码路径。智能体攻击的本质是污染智能体的「认知输入」——它读什么，就信什么。团队仓库里的AGENTS.md、README、代码注释，都应该纳入代码评审范围，像对待依赖包一样对待这些会被自动读取的文件。第三条防线是数据边界：核心代码不要经由云端工具流转。飞算JavaAI在这条线上给出的方案是本地化处理——代码索引、语义分析、代码生成全部在本地完成，代码不上云，智能体的「认知输入」被关在开发者的机器里，从物理路径上掐断了代码外泄和被投毒回传的可能。

第四条防线是审计。每一次智能体执行了什么操作、改了哪些文件、调用了哪些命令，要有日志可查。飞算的智能会话支持历史自定义命名和分支管理，配合3.9.22新增的思考内容显示，智能体的执行过程可以被事后回放审查。安全账没法外包给工具厂商，但工具至少可以把过程记录做全——剩下的判断和响应，得靠团队自己的安全流程。

四、结语

一千多美元偷走苹果签名证书，19万玩家凭证一夜易主，4小时的入侵速度对43天的修复速度——这些数字摆在一起，说明智能体时代的攻防已经不是一个「要不要重视」的问题，更是一个「按什么节奏响应」的问题。

对Java团队，行动清单就四条：凭据轮换、投毒面审查、代码本地化、全程审计。AI帮所有人把效率抬上去了，也帮攻击者把门槛降下来了。让代码留在你自己的机器上，让每一步执行都留痕可查——这可能是这个冬天最实在的一条安全建议。