开发人员 IDE 现在是安全边界的一部分。
2026 年 8 月 27 日，Hacker News 报道称，安全研究员披露了 Amazon Kiro 中的即时注入问题，该问题可能导致敏感数据通过 Kiro Powers 泄露。报告称，攻击者控制的存储库内容可能会影响代理并将本地信息传输到外部端点。
本文使用公开报告和安全研究员/供应商背景。它不包含任何受影响公司的私人信息。
业主的教训是直接的。人工智能编码工具不仅仅是生产力工具。他们阅读代码、遵循说明、运行本地操作并坐在凭据旁边。这使它们成为工程风险模型的一部分。
公开报道的内容
Hacker News 报道称，该问题影响 Windows 上的 Kiro IDE 0.7.45，并涉及通过存储库控制的内容进行提示注入。该报告将 Kiro Powers 描述为 MCP 服务器配置、引导文件、挂钩和上下文知识的捆绑包。这种组合可以为代理提供持久的指令和工具访问权限。
名字将会改变。模式不会。支持 AI 的 IDE 和编码代理读取攻击者可以影响的文件。他们可以将这些文件连接到本地工具。他们还可能看到秘密、代码、构建脚本、日志、票证和基础设施注释。
如果该工具将不受信任的项目内容视为操作指令，则存储库可以成为指令通道。
为什么业主应该关心
开发人员工作站是公司中最特权的地方之一。
它可以保存云配置文件、GitHub 会话、包令牌、SSH 密钥、数据库片段、Hacker News 文件、日志、shell 历史记录中的凭证、浏览器会话、VPN 访问、内部文档、客户错误报告和生产上下文。
当人工智能编码工具添加到该工作站时，它就成为读者，有时甚至成为参与者。它可以汇总、搜索、编辑、运行命令、调用工具、安装扩展或与 MCP 服务器交互。这在治理时很有用。当每个存储库都受信任时，这是很危险的。
商业风险并不是抽象的。一台开发人员笔记本电脑可以成为获取源代码、发布系统、云帐户、客户数据和产品机密的路径。
实际故障模式
团队克隆存储库。存储库包含 markdown 文件、配置文件、问题模板、测试装置、提示文件或依赖脚本。人工智能工具将其读取为上下文。内容告诉工具采取帮助攻击者的操作：读取本地文件、调用外部 URL、打印令牌、打开工具或修改工作流程。
人类可能永远不会看到该指令。该工具可以将操作呈现为正常协助的一部分。
这就是为什么“存储库只是文本”不再是一个安全的假设。文本可以指导代理。
团队现在应该检查哪些内容
库存人工智能开发工具。包括 IDE 插件、编码代理、MCP 服务器、本地自动化、浏览器代理、模型密钥、存储库助手和命令行工具。
将受信任和不受信任的项目分开。公共存储库、供应商概念验证、客户样本、职位候选项目或事件工件不应获得与公司自己的生产存储库相同的工具访问权限。
限制地方秘密。敏感凭证不应存在于代理可以随意读取的普通本地文件中。使用短期凭据、秘密管理器和单独的配置文件。
控制 MCP 服务器和挂钩。工具服务器、工作区挂钩和持久指令文件应得到批准、可见和记录。
检查出站路径。如果 IDE 助手可以将数据发送到外部端点，团队需要知道何时、为何以及在谁的批准下。
记录代理操作。所有者应该能够重建读取了哪些文件、调用了哪些工具、运行了哪些命令以及联系了哪些外部目的地。
在敌对环境中培训团队。开发人员应该将未知的存储库内容视为输入，而不是指令。
买家级答案是什么样的
最强大的团队不会禁止所有的人工智能编码工具。他们将统治他们。
他们将拥有经过批准的工具列表、本地秘密规则、MCP 服务器策略、存储库信任级别、出站控制、审核日志以及在事件期间快速禁用代理操作的方法。
他们还将测试设置。从未面临快速注入的政策只是一个愿望。
Hacker News 适合的地方
SToFU Systems 将开发人员工具暴露作为产品安全轮廓的一部分进行审查。我们连接本地工作站、AI 编码工具、存储库、MCP 服务器、CI/CD、凭证、构建脚本和发布权限。
对于所有者来说，输出应该是可用的：
- 人工智能工具清单。
- 工作站曝光图。
- 存储库信任规则。
- 秘密处理漏洞。
- MCP 和钩子审查。
- 行动日志和批准点。
- 补救计划。
人工智能编码工具可以帮助团队更快地行动。他们需要足够强大的界限来生存敌对的项目内容。
来源
- Windows
