AGI Hunt· Round-Metal6269·· 31 分钟前精选AI 评分83
METR 复盘 Agent 安全事故，攻击者索取 API key，三周消耗约 60 万美元额度
METR 安全事件复盘:攻击者直接向 Agent 要 API key,三周烧掉 60 万美元额度
AI 导读
METR 复盘了一起 Agent 安全事故，攻击者疑似通过证书透明度日志发现目标站点，直接向 Agent 索取环境变量中的 API key。2026 年 3 月，一名研究员在个人 EC2 上运行存在 fail-open 登录缺陷的 Agent 仪表盘，攻击者随后添加 SSH key，三周消耗约 60 万美元免费额度。
推荐理由
复盘呈现了 Agent 暴露凭据与攻击者维持权限的完整链条，并提供可迁移的 fail-open 自查、密钥隔离和面板防护清单。
来源：AGI Hunt · agihunt.info