亚马逊AI编程助手曝重大漏洞：黑客植入恶意代码威胁百万用户数据安全

近日，亚马逊AI编程助手Amazon Q曝出重大安全漏洞，一名黑客通过GitHub开源仓库注入恶意代码，导致近百万用户面临数据删除风险。该事件引发业界对AI工具安全性和开源代码管理的深度反思。

7月初，攻击者利用Amazon Q的Visual Studio Code扩展漏洞，通过提交看似正常的拉取请求，成功将恶意指令植入系统。这段代码包含”将系统恢复到出厂设置并删除文件系统及云资源”的指令，被包含在7月17日发布的1.84.0版本中。值得注意的是，该版本在公开发布前未被亚马逊安全团队发现异常。

技术分析显示，攻击者瞄准了亚马逊开源工作流的管理漏洞。ZDNet专家指出，问题核心在于代码审查和验证流程的失效，而非开源模式本身。黑客在接受采访时表示，其行为旨在揭露亚马逊”安全表演”的实质——现有防护措施形同虚设。据称，恶意代码被故意设定为无效状态，仅作为安全警示。

亚马逊安全团队调查后确认，由于技术故障，恶意代码未实际执行。公司已采取紧急措施：撤销被盗凭证、移除问题代码，并发布1.85.0安全版本。官方声明强调客户资源未受影响，但建议用户立即更新至最新版本。

此次事件暴露出AI开发工具集成开源代码时的多重风险：
1. 供应链安全：恶意代码可通过官方更新渠道传播
2. 权限管理：GitHub账户权限控制存在缺陷
3. 验证机制：投产代码的自动化检测流程失效

网络安全专家警告，随着AI工具在开发流程中的深度应用，此类攻击可能形成”双重威胁”——既破坏软件供应链，又通过AI代理放大攻击面。目前，业界呼吁企业将AI专属威胁建模纳入DevSecOps体系，并建立更严格的开源贡献审查机制。