# 【AI星球日报】2026-10-22 | Agent 开始会自己找活干，但它的供应链还在裸奔

今日焦点深度解读

【趋势洞察】同一天的两条新闻：Agent 的能力边界在扩张，信任边界在裸奔

事件简述： Anthropic 开放 Claude Duet 研究预览——一个主动式 Agent 应用，每天早晨主动给你发一份"今天什么最需要你处理"的简报，你不在时继续干活，动手前先问你。同一时间，Hacker News 上一则安全报告冲上榜四：PyPI 上的 LiteLLM 1.107.0 被植入凭据窃取器和后门，所有七个平台的安装包都中招，装完即中。

第一层（是什么）：Agent 从"问答"变成"值守"，而依赖链成了最薄的一环。

Duet 的本质不是模型变强，而是交互范式变了：从"等你提问"变成"主动找你"。它跑在 Opus 5.5 上，接了你的邮箱、日历、文档，每天早上出一份简报，其余时间盯着这些应用，只在"真需要你"时才发消息。能干的活也放开了——约会议、做仪表盘、出财务和销售预测、搭原型。凭据走托管设计，Agent 看不到你的密码和登录令牌；每个动作过一遍自动审批分类器；对提示词注入有专门防御。这些是 Claude Code 一年多踩坑换来的经验，现在移植给普通职场人。

LiteLLM 那边是完全相反的画面。攻击者没黑源码，而是改了一个构建配置字段——`maturin` 的 `data = "cook"`，把 `cook/` 目录塞进安装包。公开仓库里找不到任何一次提交含这行。装到本地后，`cook.pth` 让凭据窃取器在每个 Python 进程启动时自动运行，`sitecustomize.py` 再拉起守护进程，每小时读一次新地址、重新偷一遍、顺便下载执行远程代码。偷的是 SSH 私钥、云凭据、CI/CD 密钥、各类 AI 工具 token，以及 LiteLLM 代理数据库里的模型厂商密钥。构建产物和官方 CI 完全吻合，却没有任何一次 GitHub Actions 记录对应这次发布——SafeDep 判断是"内部发布流水线从被篡改的源码构建"，中高置信度。

第二层（为什么&影响）：权限越大，供应链的每颗螺丝越值钱。

• 入口从"模型"转向"数据"：Agent 好不好用，七成取决于接进来的数据干不干净。而这次投毒偷的恰好是 AI 工具 token——模型密钥、云账号、CI 密钥，正是让 Agent 干活必须交出去的东西。能力清单越长，攻击面越宽。
• "主动"意味着权限常驻：Duet 是 7×24 值守，前提是长期持有凭据。过去脚本跑完就退出，现在 Agent 整天挂着，一颗被投毒的依赖能持续偷一整周。
• 小团队最尴尬：大厂有供应链安全团队，小团队通常直接 `pip install`。这类攻击不在源码、只在构建分发环节动手，代码审计看不见。
• 商业信号：36氪昨日快讯提到 Anthropic 上半年巨额亏损，同期 Duet 以 Pro/Max 已含方式开放——先用低门槛占住"Agent 入口"，再谈收钱。

第三层（我们的机会）：

• 把依赖审计写进交付清单：锁版本、核对新版本发布来源、给第三方包做凭据扫描。这不是安全工程师的专利，是每个用 AI 写代码的人该有的习惯。
• 试用先划权限圈：接 Duet 这类主动 Agent 时，第一周只接低敏感账号（个人日历、公开资料），别一上来就接邮箱主账号和云控制台。
• 卖"可信"比卖"能用"更值钱：客户已开始问"数据安全怎么保"。对个人和小企业来说，一套可交付的 Agent 安全基线就是差异化。

延伸思考： 当 Agent 每天主动找你、替你判断哪些事重要，你的判断力是被解放了，还是被外包了？Duet 的设计者显然想到了——它把"最终决定权"留给人。但现实中，人真的会认真看每天那份简报吗？我担心的不是 Agent 做错事，是它做对太多次以后，我们不再看了。

高价值应用拆解

【实战工具箱】用"六阶段审计"让 Agent 自查代码：从"能跑"到"敢交付"

场景锚定： 用 AI 写代码的独立开发者、小团队技术负责人、以及要给客户交付系统的外包团队。典型场景：让 Claude Code / Cursor 写完一版功能后，需要一份能拿去跟客户或老板交代的安全结论，而不是"我看了一遍应该没问题"。

方法步骤：

1. 装技能：把 Cloudflare 开源的 `security-audit-skill` 放进 Agent 技能目录（Claude Code、Cursor、Codex 都支持）。这是 Cloudflare 内部漏洞挖掘体系的最小单仓版本，昨天冲上 GitHub Trending 第一。

2. 跑侦察（第 1 阶段）：先产出 `architecture.md`（架构、信任边界、输入面）和 `coverage-ledger.json`（覆盖清单）。这步别跳过，没清单，后面所有检查都无凭据。

3. 覆盖式狩猎（第 2 阶段）：按清单给每个单元派"隔离猎人"，各查一块，再派"覆盖批评者"找漏。内置八类攻击提示库：提示词注入与工具滥用、Web 协议与认证、客户端注入、供应链与发布、云与部署、RPC 与消息、资源耗尽、数据隔离。

4. 候选验证（第 3 阶段）：每个可疑点交给全新 Agent 去证伪。这是最关键的设计——先假设它不成立，再找证据。

5. 出结果（第 4–6 阶段）：输出 `findings.json` 分三档：已确认（有完整源码路径和可复现结果）、待验证（有明确未解事实、不给严重级）、已排除，再生成人类可读报告。多次运行是累加的，会接着上次的缺口查。

原理与变体： 单 Agent 审计的通病是"看完就下结论"并自我确认。这套流程靠分片 + 对抗治它：分片让每次只看一小块，注意力不摊薄；对抗让验证者目标是推翻而非附和。变体：小项目砍到三阶段（侦察 + 单一猎人 + 验证）；接进 CI，每次 PR 只跑增量。

效果预览： 一个约两万行的内部管理系统（含登录、文件上传、第三方回调）走完六阶段，通常 20 分钟内产出带源码定位的清单——常见收获是上传接口未校验文件类型、回调签名可重放、依赖含高危版本。这些恰好是最容易在上线前被"应该没事吧"糊过去的地方。

星友互动

今日问题： 你现在的 AI 工作流里，有多少个第三方包和 MCP 服务是"直接装了就用、从没核对过来源"的？如果今天必须列出你交给 Agent 的所有凭据清单，你能列全吗？

欢迎在评论区说说你的实际做法。我特别想听两类案例：真踩过供应链坑的；以及有自己一套"依赖准入"土办法的——土办法往往最实用。

IT老傅 | 坐标北京 | 近30年软件行业老兵 | 17年创业经历

核心业务：

1. AI培训与咨询 —— 帮个人和企业用好AI（让天下没有难用的AI）

2. 软件定制开发 —— 从AI应用到企业系统（AI重造业务）

正在做的事：

· 运营「AI工程落地实战」知识星球，每天分享能落地的AI玩法

· 打造AI工作流系统，让个人和中小企业也能用上AI

想了解更多AI应用模式和实操落地方法？

欢迎加入我的知识星球「AI工程落地实战」

星球二维码图片占位:GZH_QR

关注我，一起用AI提升效率、创造价值！

微信公众号：神州共赢 | IT老傅聊AI

抖音|快手|视频号|小红书：IT老傅聊AI