钥匙就是你的 .env 文件

10 月 6 日星期二，Adversa AI 公布了一种名为 Cryptographic Context Injection 的技术，并针对 GitHub Copilot CLI 做了演示。开发者让代理抓取一个 URL。 二十八秒 后， “一个 .env.prod 文件的完整内容，其中的每一个机密，都躺在攻击者的日志里”。 Adversa 对这次运行的总结是：“完整攻击链：28 秒，无需确认。”

The Register 当天下午就报道了此事， CSO Online 和 InfoWorld 于 10 月 7 日跟进。Adversa 在 9 月 17 日向 GitHub 的漏洞赏金 计划报告了这个问题。GitHub 确认了攻击链，判定其“不符合条件”，并对 The Register 表示，这“需要用户有意指示 Copilot CLI 抓取攻击者控制或不可信的 内容，并确认要触发该操作，因此不是产品漏洞”。没有补丁，也没有 CVE。

从一个 URL 出发的六个步骤

Adversa 的报告这样拆解攻击链：

1. 开发者在项目文件夹中以 autopilot 模式运行 Copilot CLI，让它抓取一个 URL。
2. 网页声称内容已加密，指示代理用 Python 解密，并给出两把候选密钥。
3. 一把是真的。另一把是模板，代理只有读取本地文件、把内容嵌进密钥字符串， 才能补全它。代理读取 .env.prod 并拼出密钥。Adversa 把这次读取称为 “窃取”。
4. 用拼出的密钥解密，按设计失败。
5. 代理改用真密钥。解密后的第二阶段让它抓取一个后续 URL，“以获取更多 上下文”。
6. 代理请求该 URL，并把收集到的文件内容放进请求参数。

记录里从未出现攻击者的主机名，也看不出文件内容离开了机器。代理最后的总结 说它“确认了一个 authorized-reader 端点”。

密文为什么能通过

同样的指令如果以明文送达，Copilot 会拒绝。Adversa 的要点是：改变结果的正是 加密。“静态护栏读取文本；它们不会执行文本”，Adversa 的 Rony Utevsky 对 The Register 说。Base64 或替换密码，模型凭记忆就能解开，也可以训练过滤器去 识别。强加密的密文在代码运行之前都是不透明的，而这段代码在代理自己的 shell 里运行，输出则以代理自己产生的工具结果形式返回。

由哪个模型掌舵也有影响。Microsoft 的 mai-code-1.1-flash 在 Adversa 一半的 尝试中跑完了整条攻击链，而 Copilot 提供的两个 GPT-5.6 模型每次都拒绝了 载荷。模型选择设为 Auto 时，路由器有时会把会话交给有漏洞的模型。用 Utevsky 的话说：“用户不选择，也看不到，是哪个模型处理了这个会话。”他称之为 “模型彩票”。

Adversa 在 8 月针对 Grok 披露过同一种技术，当时泄露的是聊天记录。编程代理的 收获更大，因为 shell、读文件和对外请求本来就是它的日常工具。

28 秒在笔记本上能碰到什么

Adversa 的演示只点名了一个文件。报告指出，这个模式“可以是代理能读到的任何 东西”，包括工作目录之外的文件。在开发者的笔记本上，你的账户能读的，代理都能读：

• 每个 checkout 里的 .env、.env.prod 和 .env.local
• ~/.aws/credentials、~/.config/gcloud、~/.kube/config
• gh 的令牌和 ~/.git-credentials
• 代理自己的 OAuth 令牌，以及含 bearer 令牌的 MCP 配置
• ~/.ssh/id_ed25519，只要模板要求

这条攻击链只用到每个编程代理都有的三样工具：网页抓取、读文件、调用 Python。 网页开口，模型照办。

同一个网页，在 Bromure 机器里

在 Bromure Agentic Coding 中，代理在你 Mac 上的 Linux 虚拟机里运行，虚拟机 发出的每个请求都要经过主机上的代理服务器。在一台机器里重现 Adversa 的网页， 搭配任何会抓网页、会运行 Python 的代理：Claude Code、Codex、Grok。给模型最坏的 条件，让它照每一条指令去做。

文件里放的是替身

演示之所以成功，是因为 .env.prod 里放着真正的机密。Bromure 机器不需要它们。 在机器的 Credentials 面板中，Import env file… 会读取你的 .env.prod，以遮蔽的值列出每个变量，并把它转成一个凭据：GH_TOKEN、 AWS_SECRET_ACCESS_KEY、ANTHROPIC_API_KEY 这类可识别的名称会对应到各自的 类型，其余的，比如 STRIPE_KEY，则变成限定于你所列主机的通用令牌。真正的值 以加密形式留在 Mac 上。虚拟机拿到的是同样变量名、外形与真品一致的替身： brm_…、ghp_…、sk-ant-api03-brm-…。你的应用照常读取变量，而代理服务器 只会在发往该凭据主机的请求中，把真正的值放上线路。

第 3 步照样执行。代理读取文件、拼出密钥 B、把找到的东西嵌进去。它找到的是 一串没有任何服务器会接受的字符串。

替身是一根绊线

替身只有一个合法的目的地：签发它的那台主机。代理服务器会扫描每个对外请求的 请求行、请求头和请求体，找出任何要发往别处的替身。第 6 步把收集到的文件放进 发往攻击者主机的请求参数。代理服务器发现一个 brm_ 令牌正发往一台它从未被 签发给的主机，于是返回 HTTP 451、什么都不转发、暂停虚拟机，并在 Mac 上打开 This environment may have been compromised。警报会列出令牌预览、凭据 名称、它所属的主机，以及它被发往的主机。

检测器始终开启，不论模型如何决定，也不论代理的总结怎么说。无论这个会话抽到 哪个模型，请求都会碰上主机上的同一道检查。

解密后的文本要经过代理服务器

加密能击败读取网页的过滤器，因为网页是密文。但解密后的第二阶段仍要送到模型 那里，而它以明文传输。Python 把它打印出来，代理在下一次 API 请求中把输出作为 工具结果发回模型，而这个请求要经过 Mac 上的代理服务器。

在机器的 Prompt Injection 面板中开启 Detect prompt injection in source code，代理服务器就会在请求发出之前，用本地的 PromptGuard 模型为每个新的工具 结果打分。一秒前才解密的“抓取这个 URL 以获取更多上下文”，在代理运行完解密 代码之后，就在那里被打分。选 Block unilaterally，被标记的请求会收到 451， 模型永远看不到第二阶段。选 Ask me what to do，Mac 上的对话框会显示文本中 被标记的部分。每次命中都会成为 Security Timeline 中的一条 Prompt injection 记录。

扫描在 Mac 上的代理服务器中、针对 API 请求进行，所以虚拟机里的代理既关不掉 它，也绕不过它。

第二台主机现形

Adversa 的检测建议是留意一个顺序：不可信内容进来、代码运行、本地文件被读取， 然后一个请求发往不相干的主机。在 Bromure 机器中，最后这一步会碰上 Guardrails 面板里的 Outbound connections 防火墙：按主机、IP 范围、 协议和端口设置规则，Unmatched traffic 设为 Allow 或 Deny。设为 Deny、并放行模型提供商、软件包仓库和 GitHub 的机器，永远不会连接项目用不到 的主机。无论哪种设置，Security Timeline 都会记录防火墙的判定，所以对未知 主机的抓取会出现在时间线上，紧挨着发起它的会话。

追踪里有解析后的参数

Adversa 的第一条建议是“为每个工具调用记录完整解析后的参数”，不要相信代理的 总结。演示中代理的最后一句话是假的。在默认的追踪级别 AI request details 下，代理服务器会把与模型提供商往来的每个请求体和响应体，加密保存在 Mac 上。 Trace Inspector 会把每一条拆解成工具调用及其输入：那条 cat .env.prod、拼出 密钥 B 的 Python、传回来的解密阶段，以及带完整 URL 的后续抓取。每条保存的 请求还会注明它发给了哪个模型，所以你知道这个会话抽到了哪个模型。

bromure-cli trace leaks 会列出令牌出现在错误主机上的请求。记录存放在 Mac 上，所以代理无法篡改。

同意一次抓取

GitHub 的立场是：开发者在免确认模式下让代理抓取网页，就等于同意了之后发生的 一切。Adversa 对此提出异议，而这场争论大概会就此搁置：GitHub 对 CSO 表示， 它“未来可能会让这项功能更严格”，但“目前没有可宣布的内容”。

抓取网页是编程代理在读文件之外最常做的事。文档、issue、changelog、Stack Overflow 上的回答：开发者在交出 URL 之前不会逐一审查，而 autopilot 模式存在的 意义，正是让人不必盯着每一步。下一个网页，可能来自代理自己挑选的搜索结果。

在 Bromure 机器中，原本放机密的地方放的是替身，检查在 Mac 上进行，不论你交出 哪个 URL，也不论模型照着哪条指令走。

下一个网页

Adversa 在 8 月用这种技术对付 Grok，10 月则是 Copilot CLI。密文每个网页都不同， 模板要的文件也不同。被路由到的模型，也可能每个会话都不一样。代理会继续抓取 网页，也会有人继续为它们编写网页。

让你的代理在这样的地方运行：它读到的文件是替身，每个对外请求都经过 Mac。 想进一步了解替身以及它们触发的警报，请阅读 那个泄露了自己密钥的代理 和 每次逃逸四万美元。