机会挖掘与新奇点子

微软威胁情报团队在 6 月 5 日的博客中披露，Claude Code 的 GitHub Action 在处理不受信任的 GitHub 内容（issue 正文、PR 描述、评论）时可能泄漏 CI/CD 工作流密钥。攻击路径是经典的 prompt injection：攻击者把一条对人类审阅者看起来无害、但会被 AI 模型当作指令执行的隐藏文本藏进 issue 或 PR 正文；Claude Code 的 Read 工具当时没有和子进程执行路径同等的沙盒限制，被授权读取 /proc/self/environ，从而读到了工作流的 ANTHROPIC_API_KEY 等凭证；攻击者进一步要求模型对结果做字符裁剪，绕过了 AI 的拒绝层，也绕过了 GitHub 自带的密钥扫描器。同样的注入手法在 Google 的 Gemini CLI Action 与 GitHub 自家的 Copilot Agent 上同样奏效。Anthropic 已在 Claude Code 2.1.128（5 月 5 日）中修复，做法是让 Read 工具无条件拒绝访问 /proc/ 下的一批敏感文件。

对任何在用这些工具的独立开发者的直接启示：不管你做不做安全审计这门生意，如果你的 CI/CD 里接了 Claude Code / Cursor / Copilot 这类 agent 处理 issue 或 PR 内容，现在就该检查一下 agent 使用的 token 是否被限定了最小作用域，以及是否已经升级到修复版本。

8 月 3 日那期提到一个判断：创作者合规正在从"平台统一标准"变成"同时满足所在辖区当地法律"，并提出"属地合规映射工具"这个点子——当时缺的是具体、可核实的条文素材。今天资讯页的欧盟 AI 法案第 50 条透明度条款正好补上一块：这是首个有明确罚则、覆盖全球（只要输出被欧盟用户使用就适用）的"AI须明示身份"立法，可以直接作为该工具第一版规则库里的一条具体条目，而不再只是"英国、法国、欧盟在推进年龄核验立法"这类方向性描述。

这一点值得比其他任何提醒都更直白地说清楚：你过去11年是移动端和财务后端工程师，不是安全从业者。财务对账、App Store体检这些方向里，"我做过NetSuite同步、结算、发票模块"是能直接让潜在客户点头的背书；但在"AI agent 权限审计"这个方向里，陌生团队要把 CI/CD 访问权限或内部系统凭证交给一个没有安全履历的人来审计，需要的信任门槛完全不是一个量级——这也是为什么变现分析页反复强调"先写复盘建立可信度，再谈收费"，而不是像之前几期那样直接给出"第1周就去验证付费意愿"的节奏。

更诚实的判断是：今天这个方向更适合当作"内容与技术积累"来做——写扎实的技术复盘、实测开源工具、在小圈子里免费换真实审计经验——而不是当作"两周就能验证出付费意愿"的方向。如果两个月后发现信任门槛始终迈不过去，及时退回到财务对账/App Store体检这类你有真实背书的方向，不算失败，是这套方法论本该有的分叉结果。