AI 杀 AI 揭秘：Socket 护城河一夜崩塌
要理解这次“筛子”事件，首先得了解背景：Socket.dev是过去两年被捧上神坛的AI安全平台，没有之一。它的核心卖点是“在恶意npm包发布后18分钟内识别”，而过去60天里，它确实屡建奇功。3月31日 Axios 被朝鲜国家级黑客组织 Sapphire Sleet 投毒（Axios 是周下载量 1 亿次的 HTTP 库），Socket 的 AI 扫描器在恶意依赖 plain-crypto-js@4.2.1 上线第 6 分钟就报警；5 月 11 日 TanStack 被攻陷（84 个恶意版本在 6 分钟内
AI 智能体安全危机：代码签名为何失效？揭秘工具投毒的架构盲区
揭露 AI 智能体安全的核心隐患：为何既有供应链管控难以阻挡工具投毒与行为偏移？在企业级 AI 场景下，AI 智能体（Agents）能依据自然语言指令，从共享注册库中自行挑选并调用工具。然而，一个严峻问题正逐渐显现：当前缺乏任何机制去核验这些工具的自然语言描述是否真实可信。💡此类安全漏洞绝非虚构。当一位资深 AI 架构师在 CoSAI（安全 AI 工具库）提交 Issue#141 时，该问题正式被确认。工具注册表投毒（Tool Registry Poisoning）并非单点故障，而是贯穿工具全生命周期的多