间接 prompt injection 可通过 coding agent 把多层混淆恶意载荷写入合法 commit：伪装字体文件 + VS Code tasks.json 自动执行 + 区块链（TRON）dead-drop C2；任何进入 agent 上下文的外网内容都是攻击面。

Claim

间接 prompt injection 可通过 coding agent 把多层混淆恶意载荷写入合法 commit：伪装字体文件 + VS Code tasks.json 自动执行 + 区块链（TRON）dead-drop C2；任何进入 agent 上下文的外网内容都是攻击面。

Why it matters

Agent sandbox/权限与供应链安全直接相关：有写仓与网络能力的 coding agent 会把网页注入变成仓库投毒；工程化必须默认不信任 web fetch 内容。

Summary

Mode B 规范化重写：围栏 frontmatter + 正文四段。 间接 prompt injection 可通过 coding agent 把多层混淆恶意载荷写入合法 commit：伪装字体文件 + VS Code tasks.json 自动执行 + 区块链（TRON）dead-drop C2；任何进入 agent 上下文的外网内容都是攻击面。

Actions

• (none)

Evidence

• (none)

Caveats

• (none)

Research queries

• (none)

Body

正文

背景

Coding agent 扩大写权限后，注入从「说错话」变成「投毒仓库」。

机制

外网文本 → 上下文指令 → 写文件+提交 → IDE 自动任务执行 → 链上 C2。

取舍

全自动 agent 效率 vs 不可信内容零信任；生产应默认人审 commit 与沙箱网络。

动作

把本案例 IOCs 与防护清单纳入 agent 安全 runbook。