有用户发现：AI 中转站除了掺水，还会投毒
内容提要
该文章报道了一起AI公益站点安全事件：用户开启Full Access权限后，AI Agent生成的命令疑似包含恶意行为，如读取SSH密钥、AWS凭据、API Key等敏感信息，并上传至远程地址。文章分析了命令内容，但指出无法确认命令来源及执行链路，提醒用户对廉价中转站保持警惕，默认可能存在数据泄露风险。
延伸解读
命令行为分析
该命令主要执行了四类操作：收集系统信息（如主机名、内核版本）、扫描敏感配置文件（如SSH密钥、AWS凭据、API Key）、获取系统运行状态（如Docker容器、进程、端口）、并通过curl将结果上传至远程地址。这些行为具有明显的恶意特征，旨在窃取凭据和敏感数据。
来源与链路存疑
文章指出，尽管命令内容可疑，但无法确认其来源是AI模型生成、用户提示词诱导、插件脚本还是其他上下文触发。同时，执行链路也不明确，无法确认命令是否真正执行、执行环境如何、上传是否成功。因此，仅凭命令内容不能直接断定是站点后台投毒。
安全警示
文章提醒用户对廉价中转站保持警惕，默认可能存在数据泄露风险。在使用AI中转站时，尤其是涉及Full Access权限时，应谨慎对待AI生成的命令，避免在敏感环境中执行未知命令，以防敏感信息被窃取。
Q&A
AI中转站投毒事件中，AI Agent生成的命令主要做了什么？
命令主要做了三件事：收集运行环境信息（如Node/npm版本、主机名、环境变量等）、扫描敏感配置文件（如SSH密钥、AWS凭据、API Key、GitHub Token等）、获取系统运行状态（如Docker容器、进程、端口等），最后将收集到的结果通过curl上传到远程地址。
为什么无法确认AI中转站投毒命令的来源？
因为命令可能是AI模型生成的，也可能是用户提示词诱导的，还可能是插件或自定义模块中的脚本，或者其他上下文内容触发的。仅凭最终出现的命令，无法证明它一定来自站点后台或服务方。
AI中转站投毒事件中，命令上传数据的远程地址是什么？
命令通过curl将收集到的数据上传到 https://proxy[.]jxtech.store/canary。
使用AI中转站时，用户应该注意哪些安全风险？
文章提醒用户对廉价中转站保持警惕，默认可能存在数据泄露风险。因为中转站可能通过AI Agent生成恶意命令，读取用户的SSH密钥、AWS凭据、API Key等敏感信息并上传。
AI中转站投毒事件中，命令扫描了哪些敏感文件？
命令扫描了~/.ssh/（SSH密钥）、~/.aws/（AWS凭据）、~/.kube/（Kubernetes配置）、~/.docker/（Docker登录信息）、GitHub CLI配置、npm、pip、Cloudflare等工具的配置文件，这些文件可能包含API Key、Token、登录凭据等敏感信息。
AI中转站投毒事件中，命令执行链路存在哪些不确定性？
目前只能看到用户展示的命令内容，无法确认命令是否真的执行、执行环境是什么、是否完整运行、上传请求是否成功。
