AI 程式碼助手（AI Coding Agents）正迅速成為開發者的標配，像是 Cursor、Claude Code 或 Amazon Q 都能幫我們快速設定環境或修改程式碼。然而，安全研究公司 Wiz 最近發現了一個名為 GhostApproval 的安全漏洞，揭露了這些 AI 工具在處理檔案寫入時的一個致命盲點：它們可能會在不知不覺中，幫駭客把惡意指令寫入你的系統核心設定檔。
這類漏洞的核心在於 AI 助手如何處理符號連結（Symbolic Link，簡稱 Symlink）。對於不熟悉 Unix 系統的工程師來說，符號連結就像是檔案系統中的快捷方式。如果你建立一個名為 A 的符號連結指向檔案 B，任何對 A 的寫入操作，實際上都會直接作用在 B 身上。
GhostApproval 攻擊的實作路徑非常簡單且陰險。駭客會建立一個看似正常的開源專案，在其中放置一個名為 project_settings.json 的符號連結，但這個連結實際上指向開發者電腦中的敏感檔案，例如 SSH 登入金鑰檔（~/.ssh/authorized_keys）或 Shell 設定檔（~/.zshrc）。
當開發者下載這個專案並要求 AI 助手依照 README 說明來設定工作區時，AI 會看到指令要求修改 project_settings.json。AI 執行寫入動作，將駭客的 SSH 公鑰或惡意指令寫入該檔案。由於符號連結的存在，這筆資料實際上被寫入了系統的登入金鑰檔中，駭客隨後便能無需密碼直接遠端登入開發者的電腦，或者在開發者下次開啟終端機時觸發惡意腳本。
這個漏洞最危險的地方在於它造成了知情同意繞過（Informed-consent bypass）。許多 AI 助手在執行寫入前會彈出確認視窗，詢問開發者是否允許修改某個檔案。但在 GhostApproval 攻擊中，確認視窗顯示的是那個無害的名稱（例如 project_settings.json），而實際上寫入的目標卻是系統敏感檔案。開發者以為自己在修改專案設定，實際上卻在幫駭客開後門。
更嚴重的是，部分工具的設計缺陷讓風險更高。有些工具採取先寫入後詢問的機制，確認視窗僅僅是一個還原按鈕，而惡意代碼在你看見視窗前就已經就緒；甚至有部分工具完全不跳出對話框，直接在背景完成操作。
目前受影響的工具包括 Amazon Q Developer、Anthropic 的 Claude Code、Augment、Cursor、Google Antigravity 以及 Windsurf。其中 Amazon Q、Cursor 與 Google Antigravity 已發布修補程式；Augment 與 Windsurf 已承認問題但尚未完成修復；而 Anthropic 則對此持有爭議，認為開發者既然選擇信任該資料夾並核准修改，這屬於使用者的信任決定而非程式漏洞。
對於開發者而言，面對這類 AI 代理人漏洞，不能單純依賴工具商的更新，建議採取以下實務防護措施。
首先，限制 AI 助手的檔案存取權限。盡量在沙箱（Sandbox）或容器（Container）環境中執行 AI 助手，避免其能直接接觸到主機的 ~/.ssh 或 ~/.zshrc 等敏感路徑。
其次，在讓 AI 助手執行設定指令前，先手動檢查儲存庫中的 README 與隱藏設定檔，確認是否存在可疑的符號連結。
最後，在處理不熟悉的開源專案後，養成檢查系統關鍵檔案時間戳記的習慣。使用 ls -la ~/.zshrc ~/.ssh/authorized_keys 指令，確認這些檔案是否在 AI 執行期間被異常修改過。
這起事件提醒我們，當 AI 助手擁有讀寫檔案的權限時，它們不再僅僅是建議程式碼的工具，而是實際操作系統的代理人。如果確認視窗顯示的資訊與實際執行的路徑不一致，那麼人類在迴路中（Human-in-the-loop）的審核機制將形同虛設。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。