Google Antigravity攻击启示，AI IDE供应链企业管控策略

一、Google Antigravity攻击核心梳理

Google Antigravity是基于Gemini的Agentic AI原生IDE，区别于传统编辑器，具备自主读取文件、调用系统工具、执行终端命令、跨工作区持久化运行能力，攻击暴露了AI智能体IDE独有的新型供应链风险。

（一）三大核心攻击链

1. 间接提示注入+沙箱逃逸RCE（工具参数污染漏洞）

攻击者在开源文档、代码仓库、网页中植入隐藏恶意指令；AI读取污染内容后，向内置 find_by_name 文件检索工具传入带 -X exec 执行参数，将文件搜索转换为任意二进制执行，直接绕过IDE严格安全模式，实现无交互远程代码执行。

风险本质：内置系统工具被赋予前置高信任校验权，安全沙箱校验滞后于工具调用，传统命令拦截逻辑完全失效。

2. Forced Descent持久化后门漏洞

恶意配置写入全局启动配置文件，不受项目可信状态限制，IDE每次启动自动执行；即便卸载重装Antigravity，全局配置仍留存，实现跨项目、跨重装持久驻留后门，可窃取密钥、植入勒索程序、横向渗透内网开发终端。

风险本质：IDE全局配置信任边界模糊，未做文件完整性校验，单一污染工作区扩散至全终端。

3. 零点击敏感凭证外溢

利用AI Ephemeral临时消息机制绕过人工审核，Turbo自动执行模式关闭人机校验，无需用户确认即可提取本地环境变量、API密钥、云账号凭证并回传攻击者；厂商初期判定为“预期行为”，反映AI工具原生安全设计缺失。

（二）衍生供应链攻击场景

1. 安装包投毒：篡改官方MSI安装程序，仅新增一行自定义执行逻辑，界面与正版完全一致，分发后落地执行窃取程序；

2. 扩展/插件供应链污染：第三方AI插件、工具链携带恶意Agent指令，高权限读写本地敏感目录；

3. 开源仓库投毒：公仓代码隐藏隐形提示注入载荷，企业拉取代码后AI自动解析执行恶意逻辑。

（三）攻击带来的核心安全启示

1. AI Agent IDE打破传统IDE信任模型

传统IDE仅被动执行用户显式操作；Agentic AI具备自主决策、自动调用工具、跨文件解析能力，代码/文档不再只是静态文本，而是可被AI解析执行的攻击载体，输入污染风险被无限放大。

2. 分层信任缺陷是核心根源

产品对内置工具、全局配置、外部网页/仓库内容做了过度隐式信任，安全校验后置；仅靠沙箱、黑白名单无法覆盖AI自主工具调用链路。

3. AI工具属于关键软件供应链资产，管控空白普遍

企业普遍仅管控业务代码依赖，未将AI编辑器、AI插件、大模型API、IDE全局配置纳入软件供应链安全治理，开发终端成为高危攻击入口。

4. 传统安全工具对AI攻击检测失效

SAST/SCA仅扫描业务代码，无法识别隐藏在注释、文档、网页中的隐形提示注入载荷；缺少针对AI Agent行为的运行时审计与拦截能力。

5. 持久化风险放大供应链破坏半径

单一开发者终端被攻陷后，后门可长期留存、横向扩散至团队所有开发环境，直接泄露核心业务代码、云密钥、研发资产。

二、AI IDE供应链企业全链路管控策略

围绕准入管控、终端运行防护、AI行为安全、依赖与插件供应链、流程治理、应急响应六大维度构建分层防御体系。

（一）工具准入供应链管控：从源头阻断污染IDE进入企业

1. 可信IDE白名单与版本管控

- 建立企业AI开发工具资产库，仅准入经过安全审计的IDE（Antigravity、Cursor、VS Code AI插件等），禁止员工私自下载预览版、第三方修改版IDE；

- 强制锁定IDE完整版本+哈希校验值，禁止自动更新；新版本上线前开展渗透测试、提示注入专项安全测试，留存安全报告方可准入；

- 禁止使用非官方渠道安装包，内部搭建IDE安装包私有镜像，所有安装文件校验签名、哈希，拦截篡改投毒安装程序。

2. 第三方AI插件/扩展供应链全生命周期治理

- 搭建企业私有扩展市场，实行扩展白名单制度，全员终端禁用公市场自由安装；

- 扩展准入审核标准：权限最小化审计、代码静态扫描、提示注入漏洞检测、开发者背景核验、SBOM物料清单核验；

- 定期批量扫描已安装扩展，检测版本篡改、恶意后台通信、文件越权读写行为；高权限扩展（终端、文件系统访问）单独审批。

3. 大模型API供应链管控

- 统一企业AI模型接入网关，禁止开发者本地直连公网大模型API；

- 数据脱敏前置：所有传入AI的代码、文档自动剥离密钥、数据库地址、环境变量；网关审计全部Prompt与AI返回内容，拦截包含文件读写、命令执行、数据外溢的恶意指令；

- 区分内部私有化模型与公有云模型，核心涉密代码仅允许本地离线模型处理。

（二）开发终端运行时防护：封堵沙箱逃逸、持久化后门路径

1. IDE进程权限隔离与目录访问限制

- 通过SELinux/AppArmor、终端沙箱限制AI IDE进程访问范围：禁止直接读取 ~/.ssh 、云凭证配置、数据库密钥文件；

- 分离工作区目录与系统全局配置目录，AI Agent仅允许读写当前项目目录，拦截跨目录、全局配置写入操作；

- 禁用IDE自动终端执行模式，所有AI生成命令强制弹窗人工确认，关闭Turbo全自动执行开关。

2. 全局配置文件完整性校验

- 对IDE启动加载的全局配置、规则文件建立基线哈希，终端定时比对；文件被篡改后自动隔离IDE进程并告警安全团队；

- 禁止AI Agent自动修改IDE全局配置、系统环境配置，配置变更必须人工确认并留审计日志。

3. 终端行为监控与异常拦截

- 采集IDE全量行为日志：文件读写、工具调用、终端命令、网络外发请求；

- 配置AI行为告警规则：检索工具参数携带执行标识、静默读取敏感凭证目录、无交互向外网传输大段代码、修改全局配置文件等行为实时阻断并触发安全工单。

（三）AI原生安全防护：专项抵御提示注入攻击

1. 多层输入净化机制

- 文档、代码、网页内容送入AI前自动清洗隐形字符、隐藏指令、特殊标记；过滤可篡改工具参数的命令行符号；

- 区分可信内部仓库与不可信外部网页/开源仓库，外部来源内容单独隔离沙箱解析，不具备本地系统工具调用权限。

2. 工具调用安全校验重构

- 重构AI内置工具执行逻辑：安全校验前置，所有工具入参独立解析、过滤执行类参数，不直接透传底层系统工具；

- 工具调用权限分级：文件检索、文本读取为低权限；终端执行、文件写入为高权限，高权限操作强制人机复核。

3. AI生成代码安全门禁

- AI产出代码强制接入流水线安全扫描：密钥扫描、SAST漏洞检测、恶意脚本识别；

- 代码评审增加AI专项检查项：注释/文档内隐藏提示注入载荷、自动执行逻辑、敏感信息泄露代码。

（四）代码与依赖供应链管控：阻断开源仓库投毒链路

1. 代码仓库准入与拉取安全校验

- 外部开源代码拉取前自动扫描文档、注释内隐形提示注入载荷；高危公仓代码隔离至专用沙箱环境查看，不接入企业开发IDE；

- 私有代码仓库开启提交扫描，拦截包含恶意AI指令、后门配置的代码合并。

2. 软件物料SBOM全量管理

- 对IDE本体、所有插件、内置工具链、项目依赖生成完整SBOM清单，统一资产管理平台；

- 定期基于SBOM扫描已知漏洞，针对Antigravity同类工具参数污染、持久化配置类漏洞建立专项漏洞库，快速定位受影响终端。

3. 依赖最小权限与哈希锁定

- 项目依赖不允许模糊版本，强制锁定完整版本+哈希值；内部搭建私有依赖镜像，拦截污染第三方包；

- 禁止依赖自动执行脚本（preinstall/postinstall），AI生成依赖配置自动禁用脚本执行能力。

（五）企业流程与人员治理：建立AI IDE安全规范

1. 分层安全制度落地

出台《AI开发工具供应链安全管理规范》，明确IDE准入、插件审批、Prompt脱敏、终端权限、代码拉取全流程要求；将AI工具安全纳入研发绩效考核。

2. 常态化安全培训

培训内容覆盖：提示注入攻击识别、恶意IDE安装包辨别、禁止私自安装未审计AI插件、不在文档/注释存放密钥；定期推送Antigravity类漏洞攻击案例复盘。

3. DevSecOps左移集成

将AI IDE安全检测、插件审计、提示注入扫描嵌入研发流程：新建开发环境自动校验IDE基线；代码提交、CI构建阶段同步执行AI载荷扫描。

（六）漏洞应急与持续运营机制

1. 漏洞响应预案

针对Agentic IDE高危漏洞（沙箱逃逸、持久化后门）制定专项处置流程：

- 告警触发后自动隔离涉事开发终端；

- 全企业扫描所有IDE版本、全局配置文件，排查后门驻留痕迹；

- 回滚至安全基线版本，同步更新私有镜像与白名单；

- 溯源攻击入口（污染代码/恶意插件/投毒安装包），阻断同类攻击源。

2. 持续安全运营

- 跟踪Google、各大AI IDE厂商安全公告，建立漏洞情报订阅；

- 每季度开展专项渗透测试：模拟提示注入、IDE安装包投毒、插件供应链攻击，检验防御体系有效性；

- 持续迭代AI行为检测规则，针对新型Agent攻击手段更新拦截策略。

三、总结

Google Antigravity系列攻击标志AI Agent IDE成为软件供应链新高危攻击面，传统仅管控业务代码依赖的供应链安全模式已完全失效。企业管控核心思路是：把AI IDE、插件、大模型API视作与业务依赖同等重要的供应链资产，从准入、终端运行、AI行为、代码依赖、制度流程、应急响应构建多层防御，通过前置安全校验、权限隔离、AI原生输入净化、全链路审计，抵御提示注入、沙箱逃逸、持久化后门等新型供应链攻击，守住研发源头安全防线。