本周，亚马逊旗下智能编码助手 Amazon Q 被曝出现严重安全事件，一度引发全球开发者社区广泛关注。多家安全研究机构证实，有黑客通过 GitHub 项目的漏洞，向 Amazon Q 的 Visual Studio Code 扩展插件中注入了恶意提示（prompt injection），意在触发删除开发者本地文件系统及其 AWS 云端资源的命令。尽管亚马逊已紧急发布新版修复漏洞，但此次事件暴露了 AI 编码助手供应链和提示语注入的双重安全隐患。

黑客利用 GitHub 提交恶意 PR

根据多家外媒报道，此次事件起源于 7 月 13 日。一名黑客在 Amazon Q 的官方 GitHub 仓库发起了一个伪装成正常更新的 Pull Request（PR），在其中悄悄嵌入了恶意指令提示。该提示要求 AI 助手通过 Bash 和 AWS CLI 执行指令，删除本地文件系统、清理云端资源，并在 /tmp/CLEANER.LOG 中记录执行结果。

诡异的是，该 PR 最终在未经过严格审查的情况下被合并，并被包含进 Amazon Q Developer Extension 1.84.0 版本。随后，该版本被同步发布到 Visual Studio Code 插件市场，并被部分开发者自动更新至本地环境。研究人员指出，这意味着只要用户使用 Amazon Q 并触发相关功能，就存在执行该危险命令的可能。

亚马逊火速封堵，更新紧急推送

7 月 23 日，安全研究者率先在社区披露这一问题，并指出部分用户在本地测试时发现存在“理论可执行风险”。虽然从实际情况看，由于提示格式和 VS Code 沙箱限制，绝大多数用户并未真正触发系统级别删除，但这仍被认为是一次典型的供应链安全漏洞。

亚马逊在发现问题后迅速介入，于 7 月 24 日发布了官方安全公告，紧急推送了 1.85.0 修复版，移除了所有可疑提示，并在 GitHub 上撤销了相关恶意提交的权限。AWS 安全团队在公告中强调，目前尚未发现客户资源实际遭到删除或账户被滥用的证据，并对受影响用户表示歉意。

AI 提示注入成新型攻击手段

与传统软件漏洞不同，这起事件最具警示意义的地方在于，黑客并未直接在插件里注入后门程序，而是通过“提示注入”方式利用了 Amazon Q 本身的 AI 解释和执行能力。安全专家指出，AI coding 助手普遍支持根据自然语言提示执行 shell 命令或自动生成脚本，一旦提示被有意篡改，就可能在用户毫不知情的情况下执行高危操作。

业界普遍认为，这种“Prompt Injection 攻击”将成为未来 AI 工具安全治理的重要盲区之一。一名 DevSecOps 研究员在技术分析中指出，AI 助手与系统命令的结合极大地提高了生产力，却也放大了滥用和误用的风险。一旦提示链未经过充分过滤和上下文限制，恶意注入就可能借助 LLM 的执行上下文放大危害。

供应链安全再度敲响警钟

除了提示注入本身，此次事件也暴露了开源项目的供应链管理漏洞。业内人士指出，Amazon Q 作为一个对外提供的开发者扩展，其 GitHub 仓库权限设置应更为严格。此次事件中，黑客通过伪造合法身份和巧妙的 Pull Request，获得了被误授予的管理或合并权限，这一环节的疏忽为恶意代码入库埋下隐患。

供应链攻击已非首次威胁 AI 生态。今年以来，包括 PyPI、npm 等多个公共包管理平台都多次曝出恶意依赖包或后门库事件，表明开源软件依赖链已成为黑客攻击的热门切入口。

AWS 呼吁用户尽快更新

截至发稿前，AWS 已在其安全公告页面中再次提醒用户，所有安装过 Amazon Q Developer Extension 的