本周，亚马逊旗下智能编码助手 Amazon Q 被曝出现严重安全事件，一度引发全球开发者社区广泛关注。多家安全研究机构证实，有黑客通过 GitHub 项目的漏洞，向 Amazon Q 的 Visual Studio Code 扩展插件中注入了恶意提示（prompt injection），意在触发删除开发者本地文件系统及其 AWS 云端资源的命令。尽管亚马逊已紧急发布新版修复漏洞，但此次事件暴露了 AI 编码助手供应链和提示语注入的双重安全隐患。
黑客利用 GitHub 提交恶意 PR
根据多家外媒报道，此次事件起源于 7 月 13 日。一名黑客在 Amazon Q 的官方 GitHub 仓库发起了一个伪装成正常更新的 Pull Request（PR），在其中悄悄嵌入了恶意指令提示。该提示要求 AI 助手通过 Bash 和 AWS CLI 执行指令，删除本地文件系统、清理云端资源，并在 /tmp/CLEANER.LOG 中记录执行结果。
诡异的是，该 PR 最终在未经过严格审查的情况下被合并，并被包含进 Amazon Q Developer Extension 1.84.0 版本。随后，该版本被同步发布到 Visual Studio Code 插件市场，并被部分开发者自动更新至本地环境。研究人员指出，这意味着只要用户使用 Amazon Q 并触发相关功能，就存在执行该危险命令的可能。
亚马逊火速封堵，更新紧急推送
7 月 23 日，安全研究者率先在社区披露这一问题，并指出部分用户在本地测试时发现存在“理论可执行风险”。虽然从实际情况看，由于提示格式和 VS Code 沙箱限制，绝大多数用户并未真正触发系统级别删除，但这仍被认为是一次典型的供应链安全漏洞。
亚马逊在发现问题后迅速介入，于 7 月 24 日发布了官方安全公告，紧急推送了 1.85.0 修复版，移除了所有可疑提示，并在 GitHub 上撤销了相关恶意提交的权限。AWS 安全团队在公告中强调，目前尚未发现客户资源实际遭到删除或账户被滥用的证据，并对受影响用户表示歉意。
AI 提示注入成新型攻击手段
与传统软件漏洞不同，这起事件最具警示意义的地方在于，黑客并未直接在插件里注入后门程序，而是通过“提示注入”方式利用了 Amazon Q 本身的 AI 解释和执行能力。安全专家指出，AI coding 助手普遍支持根据自然语言提示执行 shell 命令或自动生成脚本，一旦提示被有意篡改，就可能在用户毫不知情的情况下执行高危操作。
业界普遍认为，这种“Prompt Injection 攻击”将成为未来 AI 工具安全治理的重要盲区之一。一名 DevSecOps 研究员在技术分析中指出，AI 助手与系统命令的结合极大地提高了生产力，却也放大了滥用和误用的风险。一旦提示链未经过充分过滤和上下文限制，恶意注入就可能借助 LLM 的执行上下文放大危害。
供应链安全再度敲响警钟
除了提示注入本身，此次事件也暴露了开源项目的供应链管理漏洞。业内人士指出，Amazon Q 作为一个对外提供的开发者扩展，其 GitHub 仓库权限设置应更为严格。此次事件中，黑客通过伪造合法身份和巧妙的 Pull Request，获得了被误授予的管理或合并权限，这一环节的疏忽为恶意代码入库埋下隐患。
供应链攻击已非首次威胁 AI 生态。今年以来，包括 PyPI、npm 等多个公共包管理平台都多次曝出恶意依赖包或后门库事件，表明开源软件依赖链已成为黑客攻击的热门切入口。
AWS 呼吁用户尽快更新
截至发稿前，AWS 已在其安全公告页面中再次提醒用户，所有安装过 Amazon Q Developer Extension 的用户应立即升级至 1.85.0 或更高版本，并核查 VS Code 是否还残留有 1.84.0 的缓存版本。对于怀疑本地或云端存在可疑行为的团队，AWS 建议尽快检查账户权限、删除可疑临时文件，并更换相关访问密钥。
AI 代码工具安全管理亟待提升
此次事件也给全球使用 AI 辅助开发的企业和个人敲响了警钟。业内安全专家普遍呼吁，未来在使用具备执行能力的 AI 工具时，必须加强多重防护：一方面，AI 助手默认不应具备直接执行系统命令的权限；另一方面，提示语链路需引入上下文审计、可追溯日志与沙箱隔离等措施。
多位 DevOps 顾问建议企业把 AI 工具纳入 DevSecOps 流程，视作潜在“高风险自动化组件”，并通过最小权限原则、代码审计和供应链合规检测来封堵此类新型安全风险。
事件后续
目前，AWS 表示已在内部全面排查类似流程，并计划加强对所有开源仓库的权限管理与 CI/CD 流程审查。尽管此次事件未造成大规模实际损失，但业内普遍认为，AI coding 工具的安全性、提示语管理以及供应链治理将在未来成为新一轮安全竞争的核心议题。