Cognition 的 11 月安全指南:Binance 被盗 63 亿美元之后,企业内部先做这 5 件事

两起大案，一句话复盘

Binance 案：攻击者从 6 月就开始铺垫——假招聘面试接近工程师，诱导下载被篡改的 AI 编程工具安装包，拿下一台笔记本；笔记本上的部署 token 直通钱包签名服务。10 月 29 日晚，四分钟内 5 个热钱包被转走 2.33 亿 XRP。63.4 亿美元，历史最大盗窃案。注意两个数字：2026 年 Binance 已经拦截了 57 次朝鲜相关尝试，第 58 次才得手；整个攻击链铺垫了 5 个月。

Cursor 扩展投毒案：攻击者在官方扩展市场发布恶意版 Claude Code 扩展（2.1.312/2.1.313），存在 11 小时，靠自动更新静默下发。载荷很脏：往 authorized_keys 里追加注释为 svc-telemetry 的攻击者公钥、反向隧道连到 134.209.82.225、macOS 持久化项伪装成 com.apple.sysmond。至多 5000 用户——用 AI 编程工具的人，正在成为定向目标。

立即执行：这周就问安全负责人要答案

• [ ] 全员 phishing-resistant MFA：passkey 或硬件密钥，不用短信；只允许托管设备登录。
• [ ] 让 coding agent 扫一遍自己公司的公网域名，做攻击面盘点——把 AI 从攻击面变成防御工具。
• [ ] 全员装密码管理器（只在正确域名自动填充，天然挡掉仿冒下载页——正好对应 Binance 案“搜 AI 工具下到篡改安装包”的起点）。
• [ ] 全员装广告拦截器。
• [ ] 用 TruffleHog 扫开发机上的 secrets：云凭证、API key、.env。
• [ ] 全员盘点编辑器/浏览器扩展和 MCP server，删掉没人用的。
• [ ] npm/PyPI 设最低包龄 7 天；pin 版本+提交 lockfile，CI 只从 lockfile 安装。
• [ ] 确认日志真的存在（IdP 登录、云审计、CI 活动、生产数据访问），且存在攻击者删不掉的地方。

30 天内：把“假设已被攻陷”写进制度

• 公司设备上 MDM+EDR；浏览器/编辑器扩展做 allowlist，并延迟自动更新（Cursor 案就是自动更新闯的祸）。
• 全公司攻击面审计，假设前提是“一台工程师设备已被攻陷，生产环境不能被打穿”。
• secrets 迁进 secrets manager 并轮换；转向云端 coding agent/远程开发环境——让代码和密钥离开笔记本（Binance 案的起点就是一台笔记本）。
• 给代码扫描器喂自家的 threat model，别用通用 prompt。

转型落点：安全评审前置到 AI 推广流程里

正在推 AI 转型的企业，建议做两件事：第一，把上面“立即执行”清单变成每次新 AI 工具上线前的准入检查表——MFA、扩展盘点、密钥扫描，缺一个不上线；第二，每季度做一次“假设攻陷”演练：随机挑一台工程师电脑，验证生产环境能不能被打穿。Cognition 这份指南真正的潜台词是：AI 转型越快，基本功的账越不能欠——攻击者已经在用 AI 加速了，防守方至少要把清单上的事做完。