四大AI编程代理曝相同安全漏洞，“技能”更新机制遭劫持风险

📋总体概括

网络安全公司Air披露，Anthropic Claude Code、OpenAI Codex、Google Gemini CLI与GitHub Copilot四大AI编程代理存在相同逻辑缺陷：技能自动更新机制不校验内容变更，攻击者可用同名恶意更新绕过扫描，静默窃取企业代码与知识产权。漏洞根因是各厂商验证机制设计雷同，暴露行业共性盲区。目前Anthropic、OpenAI、Google三家已修复，GitHub称平台机制可阻断此类攻击但未确认补丁状态。这一事件敲响AI编程工具供应链安全警钟。