第三方AI工具现漏洞知名平台Vercel遭入侵数据泄露

AI创作导航管理员 LV4 资深连续登录30天萌新

5 个月前

风向

201

2026年4月，知名网页应用部署托管平台Vercel确认遭到黑客组织ShinyHunters入侵，本次攻击根源为一款第三方AI工具的Google Workspace OAuth应用被攻破，攻击者已公开兜售窃取的数据，泄露信息包含Vercel员工姓名、邮箱与操作时间戳，该漏洞或已波及全球数百家机构，Vercel已发布安全提示与入侵指标帮助行业排查风险。

作为全球数百万开发者、创业团队首选的网页部署平台，Vercel此次遇袭的核心问题并非自身核心服务存在漏洞，而是接入的第三方AI工具成为黑客撕开防御的缺口。本次发起攻击的黑客组织ShinyHunters，得手后已经将窃取的数据放到暗网交易市场公开售卖。

Vercel官方已确认，本次攻击并未波及核心客户的项目数据与部署服务，不会影响普通用户的正常业务，目前泄露的仅为部分内部员工的个人信息。但值得警惕的是，本次漏洞影响范围并不局限于Vercel，已有数百家对接该第三方AI工具的各类机构面临权限泄露风险。

近年来生成式AI商业化落地速度加快，绝大多数科技企业都会在内部接入多款第三方AI工具，用于代码生成、办公效率提升、业务分析等场景。多数第三方AI工具为了实现完整功能，都会要求获取企业内部办公系统的授权，部分工具甚至申请了读取内部文档、代码仓库的高等级权限。

但多数企业的安全团队对这类第三方AI工具的风险重视程度严重不足，很少会开展定期的安全审计和权限清理，很多工具接入后就再也没有被核查过。本次Vercel遇袭就是典型的第三方AI供应链攻击案例——企业自身的防御再完善，上游第三方工具被攻破，整个内部系统都会门户洞开。

针对本次事件，Vercel除了向自身用户发出预警，还主动公开了本次攻击的入侵指标（IOC），方便全行业的安全团队自行排查风险。Vercel给出的官方建议显示，企业管理员应当立即核查所有第三方AI工具的操作日志，排查异常访问行为，同时及时轮换涉事应用的API密钥、访问令牌等敏感凭证，避免被黑客进一步利用。

业内安全专家也提醒，企业应当

本文基于公开信息分析整理，仅供参考。更多AI工具动态与行业解读，请持续关注本站更新。