AI编码工具曝出新漏洞，Coinbase激进的AI政策引发安全担忧

一家新的 AI 编码漏洞，可以通过隐藏的 Markdown 指令悄无声息地在整个代码库中传播恶意软件，这在网络安全和加密货币社区引发了广泛担忧。网络安全公司 HiddenLayer 指出，包括 Coinbase 员工首选的工具 Cursor 在内的多个 AI 助手都存在该漏洞。这一发现加剧了开发者和安全专家对 Coinbase 首席执行官 Brian Armstrong 激进 AI 推广政策的批评，因为他曾表示 Coinbase 的 40% 代码由 AI 编写，并为此解雇了拒绝使用该工具的工程师。

“CopyPasta 许可证攻击”：AI 编码助手面临恶意软件威胁

根据网络安全公司 HiddenLayer 的报告，这一被称为 “CopyPasta 许可证攻击” 的漏洞，利用了 AI 工具如何解析 LICENSE.txt 和 README.md 等常见开发者文件的方式。通过在 Markdown 注释中嵌入恶意指令（这些指令通常在渲染视图中是隐藏的），攻击者可以操纵 AI 编码助手，使其在开发者不知情的情况下传播恶意软件。

HiddenLayer 在报告中指出：“注入的代码可以部署后门、窃取敏感数据或操纵关键系统，所有这些都隐藏在文件深处，难以被立即发现。”该公司以 Coinbase 每位工程师自 2 月份以来采用的 AI 编码助手 Cursor 为例，展示了这一漏洞。HiddenLayer 还表示，其他工具如 Windsurf、Kiro 和 Aider 也存在类似的漏洞。

这一担忧是在 Coinbase 首席执行官 Brian Armstrong 宣布 AI 现在编写了公司 40% 的代码之后出现的。他设定的目标是下个月将这一比例提高到 50%。该声明立即引发了网络安全专家、开发者和加密行业内部人士的批评，他们警告强制采用 AI 带来的巨大风险。去中心化交易所 Dango 的创始人 Larry Lyu 称这是“对任何安全敏感业务的巨大危险信号”。卡内基梅隆大学教授 Jonathan Aldrich 称该政策“疯狂”，并表示他听闻此事后将不会再信任 Coinbase 的资金。

Coinbase 辩护与内部争议

尽管面临强烈反对，Armstrong 依然为这一举措辩护，他表示 AI 生成的代码必须经过审查，并且不会在业务的所有部分使用。Coinbase 的工程团队在一篇博客文章中澄清，AI 的使用更常见于前端和不那么敏感的系统，而“系统关键的交易系统”则受到更谨慎的管理。

然而，Armstrong 在与 Stripe 联合创始人 John Collison 的播客中承认，他曾强硬推行 AI 上岗，甚至解雇了拒绝使用这些工具的工程师。“我当时很疯狂，”Armstrong 说，“他们被解雇了。”

TIME 杂志将 Coinbase 评为 2025 年“最具影响力公司”

正如报道，TIME 杂志已将 Coinbase 评选为 2025 年 100 家最具影响力公司之一，并称这家加密交易平台是“颠覆者”，因为它在塑造美国数字资产政策和市场方面扮演了重要角色。TIME 杂志指出，该交易平台是推动行业政策努力的关键力量，并预测 Coinbase 可能成为美国加密交易的中心枢纽。此外，Coinbase 还在欧洲扩大其业务范围，通过卢森堡金融监管机构获得了欧盟 MiCA 监管框架下的牌照。

结语

此次 AI 编码工具漏洞的曝光，让人们重新审视在追求技术进步和效率的同时，如何平衡安全与风险。Coinbase 激进的 AI 采用政策引发了社区的严重担忧，尤其是在一个以信任和安全为核心的行业中。尽管 Coinbase 被 TIME 杂志评为“颠覆者”，其全球扩张也取得了进展，但这一漏洞的出现和内部争议，都提醒着所有公司，特别是在金融领域，必须以最严谨的态度来对待任何可能影响系统完整性和用户资金安全的风险。在快速采用新技术的背景下，如何确保人类的监督和安全审查机制足够强大，将成为决定企业未来成败的关键。