A Roblox cheat, a month of silence, and an enterprise OAuth breach: what the Vercel incident is really teaching

本文件為英文原版的機器翻譯。若翻譯版本與英文原版之間存在任何歧義，概以英文原版為準。 閱讀英文原版

一個 Roblox 外掛、一個月的沉默以及一場企業 OAuth 入侵：Vercel 事件真正的教訓

2026-04-22 · Caiioo Team

Vercel 入侵事件中有三個細節值得關注。它們都不是頭條新聞，但都會改變您對安裝第三方 AI 工具的看法。

細節 1：導致 Vercel 入侵的供應鏈始於一個 Roblox 外掛

Vercel 事件的公開敘事是這樣的：一名 Vercel 員工安裝了 Context AI，授予其廣泛的 Google Workspace 權限，Context AI 被入侵，OAuth 權杖被劫持，攻擊者以此為跳板進入 Vercel。

這是下游的故事。上游的故事更為離奇。

根據 Hudson Rock 的分析（目前已成為 Trend Micro、OX Security、Strapi 和 The Hacker News 的共識報導，且截至 4 月 22 日 Vercel 或 Context AI 均未反駁），原始媒介是一名 Context AI 員工，其個人裝置在 2026 年 2 月遭到入侵。入侵工具是 Lumma Stealer，一種現成的資訊竊取軟體。據報導，傳播媒介是一個下載的 Roblox 「自動刷怪」遊戲外掛。

竊取軟體履行了它的職責。它外洩了該員工的 Google Workspace 憑證和 AWS 存取憑證。這些憑證成為了下游一切行動的槓桿點：存取 Context AI 的 AWS 環境、存取 Context AI 代表其消費者用戶持有的 OAuth 權杖庫、存取 Vercel 員工為其公司 Google Workspace 授予的權杖，最終存取 Vercel 的內部環境和一部分客戶環境變數。

一個員工個人筆記型電腦上的 Roblox 外掛，是這場企業 OAuth 供應鏈入侵的根本原因，Vercel 描述該事件可能影響「許多組織中的數百名用戶」。

教訓不是「Roblox 很壞」。教訓是在 SaaS-AI 架構中，攻擊面延伸到供應鏈中每個供應商的每位員工的個人裝置。即使您的公司擁有完美的端點衛生，您仍可能因為兩個供應商之外的某人下載了錯誤的文件而遭到入侵。

細節 2：Context AI 在三月就知道了。他們只通知了一名客戶。

Context AI 自己的安全公告（發布於 context.ai/security-update 並於 2026 年 4 月 21 日更新）披露了以下時間表：

2026 年 3 月： Context AI 偵測到託管其已停用的 AI Office Suite 產品的 AWS 環境遭到未經授權的存取。他們聘請 CrowdStrike 進行數位鑑識，停用了受影響的環境，並通知了一名已確認受影響的客戶。
3 月至 4 月 19 日之間： 屬於「部分」消費者用戶的 OAuth 權杖仍處於受損狀態。未進行進一步的用戶通知。未進行公開披露。
2026 年 4 月 19 日： Vercel 發布其安全事件公告，透過自身的鑑識獨立追溯到 Context AI。
2026 年 4 月 21 日： Context AI 更新其公告，提供額外的用戶指引。仍未承諾通知其餘受影響消費者用戶的時間表。
2026 年 4 月 22 日（截至本文撰寫時）： 仍無通知時間表。那些權杖在二月份就受損的人仍然不知道何時、或者是否會被告知。

這是最應該改變技術團隊對安裝第三方 AI 工具看法的地方。供應商的入侵偵測並不等同於對您的披露。

在許多情況下，供應商沒有合約或法律義務告知您其服務已受損，即使該受損包括您交給他們的 OAuth 權杖。您可以在自己這邊做對所有事情——盡可能的最小權限範圍、MFA、條件存取、安全意識培訓——但您仍可能在攻擊者的時鐘下運作數月，因為唯一有能力警告您的一方正是那個還不想說任何話的一方。

細節 3：Context AI 自身的產品拆分證實了哪種架構能生存下來

在同一份 Context AI 公告中隱藏著一個子句，其份量超過了文檔其餘部分的總和。

被入侵的產品是 AI Office Suite — Context AI 已棄用的消費者產品。他們目前的企業產品 Bedrock 則未受影響。Context AI 自己給出的理由是：Bedrock 「在客戶環境中運行」。

同一家公司，同一個工程團隊，構建了兩種具有兩種不同架構的產品。SaaS 中間人架構 — 代表客戶在集中式雲端持有 OAuth 權杖的那個 — 被攻破了。在客戶環境中運行的架構 — 將 AI 置於數據旁邊而不是將數據置於 AI 旁邊的那個 — 倖存了下來。這並非因為它有更好的安全工程，而是因為沒有集中式的金庫供攻擊者觸及。

您不必聽信 Caiioo 關於集中式 SaaS AI 存在結構性問題的說法。Context AI 自己的產品線就證實了這一點。

這對評估 AI 工具的人意味著什麼

安全研究社群（Trend Micro、Varonis、Halborn、OX Security、Strapi）的一致結構性教訓是，廣泛的「允許所有」OAuth 範圍是促成因素。權杖一旦核發，就會規避 MFA 和條件存取。供應商的入侵會演變成每個下游帳戶的入侵。

以下是三個結論：

如果供應商提供，優先選擇最小權限範圍。 如果一個 AI 工具為了實現日曆功能而要求對您整個 Google Workspace 的讀寫權限，這項要求本身就是一個警訊。
優先選擇其架構根本不需要長期中心化權杖的供應商。 這是結構性的舉措。自備驗證 (BYOA) 模型，即 OAuth 客戶端配置在您自己的雲端專案中，且權杖保留在您的裝置上，這將供應商完全從信任鏈中移除。
不要依賴供應商披露作為預警系統。 Context AI 的時間表——3 月偵測、通知一名客戶、4 月 21 日更新公告但仍未承諾更廣泛的用戶通知——並非特例。這是在缺乏嚴格法律義務的情況下，事件披露經濟學所產生的結果。您的控制措施必須假設供應商不會及時告知您。

Caiioo 如何圍繞這一點構建

Caiioo 是一個強大、隱私優先的工作空間，擁有在側邊欄運行的代理編排器和聊天界面。其架構圍繞著 Context AI 產品拆分意外證實的相同見解：工作空間應該在您的數據旁邊運行，而不是在它旁邊持有您的數據。

簡短版本：您的 Workspace OAuth 權杖加密存儲在您的設備上，而不是在 Caiioo 數據庫中。您的 Gmail/日曆/雲端硬碟 API 調用直接從您的設備發送到 Google，我們的基礎設施絕不在數據路徑中。我們確實運行的轉發站 — 用於設備間協調、OAuth 交換以及許可/計費流量 — 構建在每用戶 Cloudflare Durable Objects 之上（每個用戶在硬體上與其他所有用戶隔離），並在其 WebSocket 消息總線上使用端到端加密（我們可以路由消息但無法讀取）。我們的中央數據庫存儲帳戶身份、計費狀態和路由元數據 — 而不是您的內容、您的 Workspace 權杖或您的對話。完整的技術細節，包括您可以使用 Little Snitch 或 Wireshark 親自驗證的流量表，請參見我們的關於此洩漏架構回應的配套文章。

這意味著針對 Caiioo 的 Context AI 式事件不會產生 Context AI 式的後果。不會有被傾倒的權杖金庫，因為根本沒有權杖金庫。不會有長達一個月的沉默來決定何時告知用戶，因為我們的基礎設施中沒有任何東西可以讓攻擊者從任何用戶那裡奪取。「供應商檢測不等於您的披露」問題在供應商一開始就沒有持有您的任何東西時就消失了。

試用 Caiioo

Caiioo 提供瀏覽器擴充功能、原生 macOS 應用程式、原生 iOS 應用程式、原生 Android 應用程式，以及適用於 Windows 和 Linux 的桌面應用程式。免費開始使用。

來源：