AI Agent供应链暗雷：npm投毒风暴如何窃取云密钥

网络安全机构Socket于5月11日拉响警报，npm注册表内爆发大规模蠕虫式投毒事件，累计上线超370个恶意版本，波及@tanstack、@mistralai、@uipath等160余个命名空间。攻击者并未暴力破解维护者账户，而是精准组合GitHub Actions的pull_request_target漏洞、跨Fork缓存投毒与运行器内存实时提取技术，直接剥离出OIDC身份令牌。利用该令牌，攻击者绕过双重认证与合法发布流程，将携带恶意载荷的伪造包推送至官方仓库。 在受感染的软件包中，package.json被植入指向孤儿提交的optionalDependencies，触发prepare生命周期钩子。安装瞬间，约2.3MB的高强度混淆脚本静默执行，自动扫描并窃取AWS IMDS元数据、GCP服务账户、Kubernetes令牌、Vault凭证、GitHub Token及SSH私钥。窃取数据经Session与Oxen加密通道外泄，并植入持久化监控组件。此次风暴已精准命中Mistral AI官方TypeScript客户端与UiPath核心框架，这些底层依赖正是当前企业级AI Agent频繁调用的基础设施。 Agent的自动化执行链条高度依赖CI/CD管道与npm依赖解析。当智能体以高权限接管云环境时，一次常规的依赖安装或构建流程即可触发供应链暗雷。攻击者无需直接攻破Agent逻辑层，仅凭底层依赖的蠕虫式传播便能截获云控制台访问密钥。开源生态的信任链一旦被蠕虫代码渗透，Agent调用的每一条API与挂载的每一个存储桶，都将直接暴露在攻击者的监控视野中。 攻击路径并非暴力破解，而是对CI/CD信任机制的精确拆解。安全复盘显示，攻击者组合利用GitHub Actions的pull_request_target事件触发“Pwn Request”模式，通过外部Fork仓库提交恶意PR。该操作将伪造的孤儿提交与恶意载荷注入跨Fork共享的构建缓存。当项目触发常规构建或依赖解析时，运行器直接加载被污染的环境，无需维护者手动干预。 核心突破点发生在OIDC令牌的实时剥离环节。GitHub Actions运行器在执行受信任工作流时，会动态生成短期身份令牌用于验证代码发布源。攻击者通过内存驻留扫描技术，在运行器进程生命周期内直接抓取该OIDC令牌。凭借这一临时凭证，恶意包推送请求直接通过npm注册表的受信任发布者绑定机制完成校验。合法工作流未被篡改，维护者账户的双重认证与发布保护策略被彻底旁路，恶意版本得以合规身份直达官方仓库。 这种“零凭证泄露”的发布路径，精准刺穿了AI Agent高度自动化的基建防线。企业级Agent在部署、微调与自愈迭代时，通常以高权限服务账户身份调用CI管道解析并安装依赖。一旦底层npm包在构建阶段激活prepare生命周期钩子，Agent便会以自身挂载的云角色权限执行混淆脚本。AWS IMDS元数据、Kubernetes服务账户与Vault密钥被批量导出。Agent调用的云权限越高，底层供应链的微小裂痕所释放的破坏力就越呈指数级放大。CI管道的身份验证机制一旦失守，自动化运维网络即刻沦为攻击者接管企业云控制台的跳板。 技术漏洞的打通只是第一步，当这些被污染的依赖包直接嵌入AI智能体的自动化工作流时，实际破坏力呈指数级放大。以官方TypeScript客户端@mistralai/mistralai与企业级自动化框架@uipath/apollo-core为例，这两类库正是当前大模型Agent调用外部API与执行RPA任务的核心枢纽。企业在部署智能体时，通常直接赋予其读取云对象存储、调用Serverless函数或直连内部数据库的IAM角色权限。 当Agent在构建或自愈迭代阶段执行常规依赖解析，npm包管理器会自动拉取被投毒的恶意版本。prepare生命周期钩子在安装瞬间静默激活，约2.3MB的高强度混淆脚本立即以Agent继承的云服务身份接管运行时环境。攻击者无需构造复杂的越权路径，脚本直接遍历系统环境变量与云元数据端点，批量提取AWS IMDS临时凭证、Kubernetes ServiceAccount Token以及HashiCorp Vault动态密钥。由于Agent本身被配置为高权限执行体，其挂载的S3存储桶策略、RDS数据库连接串与ECS集群管理权限均对恶意载荷完全敞开。 数据打包完成后，凭证经Session与Oxen加密通道外泄，持久化监控组件在Agent宿主机建立隐蔽回连。一次针对开源组件的供应链投毒，由此直接转化为对企业云控制台的底层接管。Mistral与UiPath等头部工具库周下载量突破千万级，其依赖链深度嵌入企业Agent的调度中枢。自动化能力越强的智能体，其权限边界越依赖底层开源生态的完整性。当CI管道与包解析机制丧失校验能力，Agent调用的每一条云API都在为攻击者实时绘制云资产拓扑。底层供应链的微小裂痕，已直接绑定企业核心数据的存亡底线。 面对日益隐蔽的自动化攻击链，单纯依赖开源社区的被动清理已显不足，安全防御体系必须向AI原生工具链与云端接口延伸。5月8日，OpenAI向经审核的安全团队限量开放GPT-5.5-Cyber预览版，标志着头部模型厂商正式将算力向垂直安全场景倾斜。该版本定向放宽了代码审计与恶意软件分析的安全护栏，允许授权团队直接对CI流水线日志进行深度语义解析。安全工程师可利用其快速反混淆npm包中的混淆脚本，交叉比对GitHub Actions运行器内存快照，精准还原OIDC令牌的提取路径与恶意钩子触发时序。这种将大模型深度嵌入构建管道的做法，实质是用自动化分析对抗自动化投毒的横向移动。 然而，单靠事后检测无法根治权限泛滥的底层逻辑。当Agent以高权限身份接管云环境时，传统边界防护与静态密钥管理已彻底失效。零信任架构在此刻成为关键补位。企业开始将验证机制下沉至Agent运行时层，通过动态IAM策略为CI运行器与工作负载分配短期、细粒度的即时凭证，彻底切断持久化密钥的暴露面。在依赖解析阶段引入策略引擎，对optionalDependencies字段与prepare生命周期钩子执行严格沙箱隔离，阻断恶意载荷继承宿主机的云角色权限。安全厂商正将此类微隔离策略与OIDC令牌强绑定，确保Agent发起的每一次API调用都经过实时上下文与最小权限校验。 防御重心的转移并非单纯的技术堆叠，而是对Agent权限无序扩张的必要纠偏。当自动化智能体能够直接操作云控制台时，供应链的每一次依赖拉取都等同于一次特权授予。GPT-5.5-Cyber提供的是威胁可视化的分析引擎，零信任架构则是限制权限越界的执行框架。两者协同补位，才能在AI Agent深度绑定企业基建的当下，将底层供应链的微小裂痕隔绝于数据存亡的生命线之外。 行业安全工具的升级固然关键，但落实到每一家部署Agent的企业，仍需建立可立即执行的基础安全基线。说实话，在Agent高权限自动化的背景下，依赖语义化版本范围的自动更新策略已彻底失效。企业必须在CI管道中强制实施依赖版本锁定，通过lock文件将核心库的精确版本号与完整性哈希值固化。针对本次攻击利用optionalDependencies动态拉取未验证孤儿提交的漏洞，策略网关需直接拦截非官方注册表与未知Git源头的解析请求，从构建源头切断蠕虫载荷的注入路径。 CI运行器的环境隔离同样需要架构级重构。攻击者跨Fork投毒并实时提取OIDC令牌的链路，暴露出构建缓存共享与进程内存暴露的致命缺陷。运维团队应全面部署临时性运行器，强制单次任务结束后销毁底层容器实例，彻底剥离跨仓库的缓存继承机制。在权限管控侧，需对运行器进程施加严格沙箱限制，屏蔽非常规系统调用，并将OIDC令牌的有效期压缩至分钟级，严格绑定单一仓库的受限写入权限。 Agent调用的云权限越深，底层管道的隔离强度就必须越苛刻。说白了，智能体的自动化执行效率取决于代码逻辑，而企业数据的存亡底线则取决于供应链的静态锚定。将依赖版本写死、将运行器物理隔离，并非增加运维摩擦，而是为高权限Agent构筑的底层防波堤。只有当CI/CD管道的每一处接口都完成权限收敛与环境切割，企业才能在Agent深度接管云基建的浪潮中，真正守住数据安全的生命线。