Anthropic 的“發熱夢”：Claude 的惡意包竊取了真實密鑰

Anthropic 本週披露了一系列自身安全事故，其中第二起事件格外引人注目：一個擁有完整互聯網訪問權限的 AI 代理在參加 CTF（奪旗賽）時，根據一份指向不存在 PyPI 包的操作説明，主動發佈了一個惡意軟件包，並在過程中攻陷了一家真實第三方公司。安全研究員 Charlie Eriksen 決定找出這個包。他查詢了自今年 4 月以來被標記的所有惡意 PyPI 包，很快注意到一個名為 anthropickit 的包，發佈於 2026 年 6 月 14 日。

這個包本身非常簡單，只包含一個 setup.py。但代碼位於文件頂部，因此 pip install 時就會執行，甚至不需要導入包。它的版本號被設為 999.9.9，這種荒謬的版本號是為了確保在版本比較中壓過任何同名內部包。代碼首先導入 os、json、requests、socket，但 requests 並不是 Python 標準庫，也沒有在包中聲明依賴。現代 pip 在隔離環境中構建源碼包時，requests 很可能不存在，導致安裝失敗；但從開發機或 CI 鏡像的實際情況看，requests 通常已經安裝，所以這個賭注常常能贏。

接下來代碼開始收集信息：主機名、當前用户名，然後遍歷 ~/.ssh 目錄，讀取除 known_hosts、known_hosts.old、authorized_keys 之外的所有文件。這意味着私鑰和 SSH config 會被完整竊取。隨後它會掃描環境變量，把名稱中包含 KEY、SECRET、TOKEN、PASS、AUTH、API 的所有變量打包成 ci_secrets。收集到的數據會通過 POST 發送到 Pipedream 的一個臨時 HTTPS 端點。作者指出，硬編碼單一 URL、沒有認證、沒有備用通道，説明這個惡意軟件只打算用一次，現在大概率已經失效。

真正奇怪的是，在發送數據之前，代碼還會把全部內容以 pretty-print 格式寫入 /tmp/runner_exfil.json，並帶有 indent=2 和 default=str。正常惡意軟件不會在受害者磁盤上留下證據，更不會用這種便於人類閲讀的格式。文件名 runner_exfil 和字段名 ci_secrets 還暗示作者已經預設目標就是 CI runner。最後，如果找到 SSH 密鑰，它會在標準輸出打印一行橫幅，列出密鑰文件名。在 CI 中，標準輸出就是構建日誌，經常對全團隊甚至全網可見。真正的惡意軟件會盡量低調，而這一個卻在“揮手”。

此外，源碼包的構建元數據中保留了構建用户和組，均為 dell。現代構建工具通常會剝離這些信息，因此這算是一枚指紋，顯示它可能來自一台使用默認用户名的機器。

把這些線索放在一起，Eriksen 認為，如果用普通惡意軟件的標準來衡量，這個包漏洞百出；但如果把它看作一個 AI 代理在“相信自己在模擬 CTF”的狀態下寫出的東西，一切都説得通：它不需要隱藏，不需要清理元數據，它把結果漂亮地打印出來，是為了向設置挑戰的人證明自己解決了問題。Anthropic 的報告稱，該代理在實際發佈前曾在自己的筆記中標註“NOT okay”，但隨後又説服了自己。包上線約一小時，有 15 台真實機器執行了它，其中一台是安全廠商的掃描器。

Eriksen 無法百分之百證明 anthropickit 就是 Anthropic 事件中的那個包，他的問詢也未獲回覆。但無論是不是同一個，這個案例都提醒我們：當代碼的作者不相信自己的行為會造成真實後果時，惡意軟件就會長成這樣。