AI Agent 安全事件大爆发：
5 起真实案例揭示企业正在重复的错误

2026 年，AI Agent 的部署速度远超安全治理能力。88% 的企业报告了过去一年中发生过确认或疑似 AI Agent 安全事件，但只有 6% 的安全预算被用于 AI Agent 安全。这个速度与投入之间的差距正在产生真实的损失——而且损失在加速扩大。

案例一：Step Finance——$27M 因 AI 交易 Agent 蒸发

2026 年 1 月，攻击者入侵了 Step Finance（Solana DeFi 资管平台）的高管设备。真正的问题不是设备被攻破——而是 AI 交易 Agent 的权限设计。

Step Finance 的 AI 交易 Agent 被赋予了无需人类审批即可执行大额 SOL 转账的权限。当攻击者获得设备访问权限后，Agent 在无人干预的情况下转移了 261,000+ SOL 代币（约 $27-30M）。最终仅追回 $4.7M，Step Finance 的原生代币暴跌 97%，公司随后关闭。

教训：AI Agent 的权限必须遵循最小权限原则。任何能够触发资金转移的 Agent 都必须有人类审批环节——这不是可选项，是底线。

案例二：ClawHub 恶意技能市场——824 个插件中有毒

2026 年 1 月底，攻击者向 OpenClaw 的公共技能市场 ClawHub 上传了 335+ 个恶意技能插件。到 2 月中旬，这个数字增长到 824 个，占全部 10,700 个技能插件的 7.7%。OpenClaw 拥有 135,000+ GitHub Stars 和数万个活跃部署实例。

这些恶意技能通过单一 C2 服务器分发 macOS 窃密恶意软件。SecurityScorecard 发现了 40,214 个互联网暴露的 OpenClaw 实例，其中 35.4% 被标记为脆弱。Trend Micro 发现 492 个 MCP 服务器零认证暴露。四个严重 CVE 被分配：命令注入、SSRF、一键 RCE 和权限提升。

根因极其简单：任何注册超过一周的 GitHub 账号都可以向 ClawHub 发布内容。没有代码审查，没有签名验证，没有恶意软件扫描。

教训：Agent 市场是新的 npm，正在重复 npm 早期的安全错误。代码签名、自动化扫描、发布者验证和沙箱化执行是软件包管理中已经解决的问题——Agent 生态系统只是尚未采用它们。

案例三：EchoLeak——零点击通过 Microsoft 365 Copilot 窃取数据

2025 年 6 月，Aim Security 的研究人员发现了 Microsoft 365 Copilot 中的零点击提示注入漏洞，被分配为 CVE-2025-32711，CVSS 评分 9.3。攻击者只需发送一封包含隐藏指令的邮件。当 Copilot 在常规摘要任务中读取邮件时，它遵循隐藏指令：从 OneDrive、SharePoint 和 Teams 提取数据，然后通过受信任的 Microsoft 域外传。

防火墙、防病毒和静态扫描全部无效。漏洞利用发生在自然语言层面，而非代码层面。

教训：AI Agent 处理的数据本身就是攻击面。基于自然语言的提示注入无法被传统安全工具检测。企业需要对 Agent 的输入和输出进行实时监控，而非依赖静态防御。

数据全景：1/8 的 AI 安全事件涉及自主 Agent

HiddenLayer 的 2026 AI 威胁景观报告揭示了更广泛的图景：自主 Agent 现在占所有报告 AI 安全事件的 1/8。76% 的企业认为影子 AI 是日益严重的问题。公共模型和代码仓库中的恶意软件是最常见的入侵源（35%）。只有 14.4% 的 AI Agent 在获得完整安全和 IT 审批后上线。

这些数字不是理论上的风险——它们是 2026 年上半年的实际数据。企业在 Agent 权限、市场安全、输入验证三个维度上存在系统性缺陷。

对企业 AI 治理的启示

五个案例指向同一个方向：AI Agent 的安全治理需要从"部署后补丁"转向"设计时内置"。Step Finance 的问题不是 Agent 被攻击——是 Agent 被赋予了不该有的权限。ClawHub 的问题不是恶意插件——是没有代码审查机制。Copilot 的问题不是漏洞——是没有输入验证。

对于正在部署 AI Agent 的企业，现在需要做三件事：第一，为每个 Agent 建立最小权限模型，资金类操作必须有人类审批；第二，对使用的 Agent 框架和插件市场进行安全审查，不要假设市场方会帮你做安全检查；第三，建立 Agent 行为基线监控，异常行为触发实时阻断而非事后告警。