非營利研究組織 METR（Model Evaluation and Threat Research，專門評估前沿 AI 模型執行長週期代理任務的能力）近日披露了兩起嚴重的安全事件。這兩起事件揭示了當前 AI 開發環境中，由於開發習慣與基礎設施配置不當，如何讓攻擊者能迅速利用自動化工具獲取高價值資源。雖然 METR 表示沒有敏感資訊外流，但其中一次事件導致了價值約 60 萬美元的 AI 運算額度被盜用。
背景與 API 金鑰盜用事件
第一起事件發生在 2026 年 3 月，起因於一名研究人員在個人 AWS EC2 執行個體上運行 AI 代理程式。該執行個體被設定為對外公開，並透過 Google 認證進行存取控制。然而，該研究人員使用的應用程式屬於所謂的 Vibe-coded app，這類應用通常強調快速開發與直覺實作，但往往缺乏嚴謹的安全性審核。
該應用程式存在一個名為 Fail-open 的漏洞。Fail-open 是一種安全性設計缺陷，指系統在遇到錯誤或認證失效時，會預設採取開放狀態而非封鎖狀態。這次事件中，認證機制被悄悄停用，導致 AI 代理程式的控制面板直接暴露在公共網際網路上長達數日。
攻擊者的運作方式極具針對性。他們透過監控憑證透明度清單（Certificate Transparency lists，一種記錄所有核發 SSL/TLS 憑證的公開日誌）來尋找新註冊的網站。攻擊者篩選包含 LLM（大型語言模型）或 Agents（AI 代理）等高信號關鍵字的網站，以此鎖定潛在的 AI 開發環境。一旦發現目標，攻擊者直接對 AI 代理發出指令，要求其揭露內嵌的 API 金鑰（API Key，用於調用 AI 模型的身分驗證憑證）。
影響與資源損失
在獲取 API 金鑰後，攻擊者進一步植入 SSH 金鑰以確保能持久性地存取該系統。在接下來的三週內，攻擊者大量消耗 METR 公開模型帳戶的 API 額度。由於 METR 平時就進行大規模的評估實驗，Token（AI 模型的最小文本單位，直接決定成本）消耗量本就極高，且該帳戶未設定支出上限，導致這次盜用行為在初期完全沒有觸發警報。
根據估計，這次被盜用的額度若按市價計算，金額高達 60 萬美元。所幸提供模型的 AI 公司最終決定免除這筆費用，否則將造成巨大的財務損失。
自動化漏洞探測與基礎設施風險
第二起事件發生在 2026 年 5 月，這次是一場持續性的外部攻擊行動。攻擊者的動機顯然是為了獲取前沿 AI 模型的非法存取權限。與第一次事件不同，這次攻擊者大量使用了 AI 代理程式來自動化漏洞發現過程，包括對認證提供商進行憑證填充（Credential Stuffing，利用已知洩漏的帳密嘗試登入）、嘗試 OAuth 令牌授權、掃描新部署的服務以及對員工進行釣魚攻擊。
在同一時期，METR 發現其公開的對話紀錄檢視器中，不慎暴露了一個唯讀的 SQL 查詢機制。SQL 是一種用於管理資料庫的標準語言，而該機制本應僅限於查詢公開數據。然而，由於組件漏洞，攻擊者理論上可以利用此漏洞存取未公開的評估數據。更嚴重的是，該資料庫中意外包含了原本不應存在的敏感模型數據。
這次漏洞是由一名獨立安全研究員發現並回報的，METR 在收到通知後立即將該 API 離線。雖然證據顯示之前的自動化攻擊者曾掃描過該端點，但並未發現他們成功利用漏洞或獲取非公開數據。
實務意義與安全啟示
這兩起事件為 AI 開發者與研究機構提供了重要的警示。首先，API 金鑰的管理不能僅依賴於單一的認證層，尤其是當開發環境部署在非組織管控的基礎設施上時，極易成為攻擊目標。其次，AI 代理程式本身可能成為洩漏秘密的渠道，如果代理程式有權限存取 API 金鑰且缺乏嚴格的輸出過濾，攻擊者只需透過對話即可將金鑰套出。
針對此類風險，METR 在事件後更新了安全政策，嚴禁將組織憑證或數據放置在非官方基礎設施上，並強化了監控機制，為所有金鑰設定支出警報。對於企業而言，針對 AI 資源的監控不能僅看總量，而應建立異常行為基線，以便在 Token 消耗量異常飆升時能即時攔截。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。