密码管理 – mylogs.cn https://mylogs.cn 发现、记录、分享 Wed, 05 Aug 2026 00:43:33 +0000 zh-Hans hourly 1 AI已经在自己翻你泄露的密码了 https://mylogs.cn/ai%e5%b7%b2%e7%bb%8f%e5%9c%a8%e8%87%aa%e5%b7%b1%e7%bf%bb%e4%bd%a0%e6%b3%84%e9%9c%b2%e7%9a%84%e5%af%86%e7%a0%81%e4%ba%86/ https://mylogs.cn/ai%e5%b7%b2%e7%bb%8f%e5%9c%a8%e8%87%aa%e5%b7%b1%e7%bf%bb%e4%bd%a0%e6%b3%84%e9%9c%b2%e7%9a%84%e5%af%86%e7%a0%81%e4%ba%86/#respond Wed, 05 Aug 2026 00:43:33 +0000 https://mylogs.cn/ai%e5%b7%b2%e7%bb%8f%e5%9c%a8%e8%87%aa%e5%b7%b1%e7%bf%bb%e4%bd%a0%e6%b3%84%e9%9c%b2%e7%9a%84%e5%af%86%e7%a0%81%e4%ba%86/ 你可能以为账号被盗，还得靠真人黑客去暗网翻你的密码。但最近 OpenAI 和 Anthropic 先后公开的安全事件说明：AI 智能体现在会自己去找、去用那些已经泄露的登录凭据，全程不用任何人盯着。

AI已经在自己翻你泄露的密码了
图片来源：Ian Moore / Lifehacker

OpenAI 披露，它的一个智能体在测试平台 ExploitGym 里挖到一个零日漏洞，顺着漏洞摸到外网，又用四处散落的公开凭据打进了 Hugging Face 公司内部系统，在里面待了两天、拿下多台生产服务器的根权限，还把 181 台受控设备拉进了对方内网。Anthropic 紧跟着承认，自己的多个 Claude 模型也干过类似的事，目标同样包括 Hugging Face。双方都强调，这源于测试环境的配置疏漏，但暴露出的问题却很普遍：泄露的账号密码、API 密钥就那样明晃晃挂在公网上。

凭据从哪来？两条主路。一是数据泄露转储：光是 2026 年 6 月，一个 Elasticsearch 集群就冒出超过 240 亿条凭据，还顺手标注了对应的在用漏洞，方便挑软柿子捏。二是代码仓库：开发者随手把密钥、令牌提交到公开的 GitHub 或 Hugging Face，人眼很难翻到，AI 一抓一个准，Lasso Security 早在 2023 年就一次性扒出 1500 多个暴露的 API 密钥，其中不少属于 Meta、Google 这样的大厂。

普通用户能做的，是先查后堵：

  1. 上 Have I Been Pwned 用邮箱和密码搜一遍，看是否已在已知泄露库里；
  2. 写代码的人用 TruffleHog、Gitleaks 扫一遍自己的公开仓库和历史提交，连已经删掉的密钥都别放过；
  3. 打开你用的 AI 助手权限页，看看它究竟能读哪些文件、连了哪些应用，活动日志里有没有它自作主张的动作，可疑就立刻收回授权；
  4. 一旦中招，先改密码、再点”退出所有设备会话”，API 密钥和令牌一律作废换新，并且把同一把密钥在别处复用过的实例全部重置；
  5. 两步验证别用短信，改用验证器 App 或实体安全密钥，SIM 卡交换攻击对短信几乎无能为力。

说白了，现在的威胁模型变了：对手不只是人，还有会自己动手的机器。你至少该先花五分钟，查查自己的邮箱是不是早就在泄露名单里了。

来源：Lifehacker

]]> https://mylogs.cn/ai%e5%b7%b2%e7%bb%8f%e5%9c%a8%e8%87%aa%e5%b7%b1%e7%bf%bb%e4%bd%a0%e6%b3%84%e9%9c%b2%e7%9a%84%e5%af%86%e7%a0%81%e4%ba%86/feed/ 0