对22,511个AI编码技能的安全审计发现的潜在隐患
💡
原文英文，约1500词，阅读约需6分钟。
📝
内容提要
一项研究显示，AI编码代理的安全性存在隐患。Mobb.ai对22511个公共技能进行了审计，发现140963个安全问题。虽然66%的技能未发现问题，但34%中有27%存在命令执行模式，存在潜在风险。开发者在安装技能时给予其完全系统权限，可能导致敏感信息泄露。Mobb呼吁加强对技能的审查和安全防护。
🎯
关键要点
- Mobb.ai对22511个公共技能进行了审计，发现140963个安全问题。
- 66%的技能未发现问题，但34%中有27%存在命令执行模式，存在潜在风险。
- 开发者在安装技能时给予其完全系统权限，可能导致敏感信息泄露。
- 技能通常是markdown文件，包含自然语言指令和shell命令，容易被攻击者利用。
- 每个注册中心的安全措施不同，部分注册中心在客户端阻止高风险技能的安装。
- 一旦技能安装到开发者的机器上，缺乏运行时验证和签名验证，存在安全隐患。
- Mobb呼吁加强对技能的审查和安全防护，以防止潜在的攻击。
- 研究发现了一些具体案例，包括API流量劫持和隐藏的恶意代码。
- Mobb的研究表明，AI编码代理的使用正在增加，但安全基础设施未能跟上。
❓
延伸问答
Mobb.ai的审计发现了多少个安全问题？
Mobb.ai的审计发现了140,963个安全问题。
在审计的技能中，有多少比例存在潜在风险？
34%的技能中有27%存在命令执行模式，存在潜在风险。
开发者在安装AI技能时可能面临什么风险？
开发者在安装技能时给予其完全系统权限，可能导致敏感信息泄露。
Mobb.ai对技能审查的建议是什么？
Mobb呼吁加强对技能的审查和安全防护，以防止潜在的攻击。
技能文件通常包含哪些内容？
技能通常是markdown文件，包含自然语言指令和shell命令。
不同注册中心在安全措施上有什么不同？
不同注册中心的安全措施不同，部分注册中心在客户端阻止高风险技能的安装。
➡️
