Warp 披露一起第三方供应商入侵事件，导致 AI 代理决策日志和用户遥测数据泄露。

Warp 这个最初以终端形态问世的智能体开发环境于 2026 年 10 月 27 日披露，其基础设施中一家第三方供应商遭受的攻击已波及 AI 智能体决策日志和用户遥测数据。创始人兼 CEO Zach Lloyd 估计，受影响的用户最多约占 Warp 用户的 1%——这一上限该公司并未换算成具体的账户数量，而其官网声称至少拥有 80 万用户。此次披露的内容是 Lloyd 在 X 上发布的一份声明，时间戳为 2026 年 10 月 26 日 19:26 UTC，BleepingComputer 于次日对此进行了报道；该报道的日期即档案所记录的日期。Warp 表示，它在某个周五——按日历为 10 月 23 日——发现了这一利用行为，并在数小时内将其控制住，通知了已明确确认受影响的用户，聘请了 CrowdStrike，并告知了执法部门。该记录的严重程度评级、置信度评级和完整来源列表收录于AI 事件档案中，与其前后归档的其他智能体开发者工具条目并列。

Warp 的原话

没有公告，没有新闻稿，也没有事件报告。主要文件是CEO的一篇帖子，其措辞值得仔细阅读，因为后来的大多数报道都是对它的转述。Lloyd写道：“周五，我们意识到我们认为存在一种针对Warp基础设施中某供应商的活跃且范围狭窄的利用行为。”“我们在数小时内发现了这一行动，并能够修复和减轻影响。我们已就该漏洞与供应商取得联系。”

帖子用一句话说明了数据内容——“有限数量的 agent trace 和遥测数据”——又用另一句话说明了机制：此次攻击“似乎来自一个 agent swarm，使用了非常复杂的渗透与提权技术，很可能始于某个供应商依赖中的漏洞。”Lloyd 还补充说，员工“整个周末都在工作”，Warp 已通知“所有我们已确认受到影响的人”，公司正与 CrowdStrike 合作开展“更广泛、更全面的调查”，并且已联系执法部门。他直接道歉：“每个使用 Warp 的人都对我们寄予厚望，我们对此绝不敢轻视。”

这一范围数字被表述为上限，而非实测数据。劳埃德写道：“截至今日，我们认为可能受影响的上限约为 Warp 用户的 1%。”BreachNews 在 10 月 28 日的一篇报道中还原了这份声明，并指出 Warp 并未说明这 1% 代表多少个账户。对照 Warp 自己公布的 80 万用户数字，这一上限意味着数千个账户，但这一推算出自我们，而非公司，而且 Warp 未公布任何已通知用户的数量。

达成了什么，以及 Warp 尚未说明什么

智能体决策日志——也称为智能体轨迹——记录的是 AI 编码智能体被要求做什么、以及它实际做了什么：指令、推理步骤、工具调用、它运行的命令以及这些命令返回的输出。在开发者环境中，这与应用程序日志有着本质区别，因为其输出可能携带文件内容、环境变量、内部主机名和连接字符串。云安全联盟（Cloud Security Alliance）在 10 月 28 日发布的一份研究简报中称，单条轨迹就可能同时包含“源代码仓库的片段、一份基础设施拓扑图，以及一个凭据存储”。

Warp 没有说明的是，上述内容中是否有任何一项出现在被泄露的数据集中。BleepingComputer 报道称，该公司"未澄清泄露的信息是否包含源代码、提示词、凭据或其他敏感细节"。BreachNews 列出了同样几个悬而未决的问题——源代码与文件路径、提示词或完整对话、API 密钥与令牌、账户信息——并对这些细节缺失的含义持谨慎态度："缺乏这些细节并不意味着这些内容受到了影响，但也不能排除这种可能。"云安全联盟（Cloud Security Alliance）独立得出了相同结论，其写道："就此断言该事件中有机密信息或源代码被窃取，还为时过早。"

该联盟的说明补充了一点有据可查而非推测的背景信息，这一点值得与泄露事件本身分开看待。正如该说明所引用，Warp 自己的隐私文档称，当遥测启用时，公司可能会收集用于驱动 AI 功能的 AI 交互和控制台输入；免费计划用户必须保持遥测启用以使用 AI；可配置的 Secret Redaction 功能默认处于禁用状态；Business 和 Enterprise 计划适用零数据保留协议。这些都不能确定遭泄露的数据集中究竟包含什么。但它确实表明，智能体轨迹所包含的内容会因计划和配置而异，这意味着此次暴露的影响对于那 1% 用户中的每一个人并不相同。

“agent swarm”这一说法是 Warp 自家的，且只是暂定提法。

“智能体集群”这一说法传播得比它最初所在的那句话更远。它源自 Lloyd，而 Lloyd 在同一分句中两次留有余地——这次攻击“似乎”来自一个智能体集群，并且“很可能”始于某个供应商依赖项中的漏洞。BreachNews 正确解读了这种留有余地的措辞：“这两点都反映公司的初步看法，尚无外部方独立确认攻击者是如何进入的，或入侵是否由 AI 智能体实施。”Cloud Security Alliance 称这一描述“在最终调查公布前只是暂定的”，并补充了一条应当记录在案的告诫：“遭受入侵的组织也有动机强调攻击者的老练程度，因此对这些描述应相应加以权衡。”

对这份记录的诚实解读比若干标题所暗示的范围更窄。已经确定的是，Warp 认为一次自动化、协同的入侵通过供应商抵达了其基础设施。尚未确定的是：是谁实施的、背后是否有任何团体或国家、AI 智能体是否真的发出了指令，或者升级是如何发生的。据 BreachNews，没有人点名任何威胁行为者，也没有任何 CVE 被公开关联到该事件。该档案的摘要持同样立场：描述“agent-swarm”攻击的报道是分析师的假设，而非已确认的归因。

披露之后发生了什么变化？

Warp 所描述的这一应对是遏制与通知，而非披露。检测“在数小时内”完成，进行修复和缓解，就漏洞联系供应商，通知已明确确认的用户，聘请 CrowdStrike 进行更广泛的调查，并通报执法部门。Lloyd 表示，受影响的用户“将收到我们关于其需要采取的行动的指示”，Warp 将“随着我们了解更多情况继续发布更新”。

对于未收到任何通知的用户来说，目前流传的建议属于预防性措施。BleepingComputer 报道称，Warp 用户被告知要监控账户活动，并对未经请求的通信更加谨慎。BreachNews 补充了实用步骤：轮换任何在 Warp 智能体会话中输入、粘贴或打印过的 API 密钥、令牌或密码；审查 GitHub、云提供商和模型提供商等关联服务上的活动；对于任何声称来自 Warp 的消息，应直接通过 warp.dev 核实，而不是通过消息中的链接。Cloud Security Alliance 就后续风险提出了一个相关观点——涉及智能体会话的消息尤其值得仔细审查，因为它们可能是利用被盗上下文构建的网络钓鱼。

公开层面没有改变的是记录本身。BreachNews 报道称，Warp 尚未发布详细的事件报告，其状态页面也没有列出该事件，而且尚不清楚这家未具名供应商是否已通知其他客户。截至 2026 年 10 月 29 日，事件任何一方均未发布任何取证报告、供应商声明、监管机构通知或事后复盘。

OpenCode 十天后

Warp 的披露是在一款 AI 编程工具发生类似事件之后出现的。BleepingComputer 报道称，AI 编程平台 OpenCode 在前一周通知用户，一起入侵事件暴露了用于外部模型提供商的已存储 API 密钥，影响了约 1.4% 的用户，并导致部分用户遭遇最高达 1,700 美元的未经授权扣费。Warp 的事件形态相同——开发者工具、供应商侧故障、小比例用户——但有一个对严重程度至关重要的差异：OpenCode 暴露的是凭证，其滥用会以账单形式显现；而 Warp 暴露的是运营记录，其敏感性取决于无人公布过的字段。

云安全联盟将这两者视为同一个教训，而非两个故事。它写道，两者都涉及“一个开发者工具供应商代表许多客户持有敏感的智能体相关数据，而攻击者通过一个并非核心产品的基础设施组件获取了这些数据”。其结构性观点是，智能体轨迹会将通常分别治理的内容聚合在一起——代码由代码仓库控制措施治理，凭据由机密策略治理，遥测由产品分析治理——因此它们“面临在最弱的那套制度下被治理的风险，通常就是产品分析”。这是关于暴露模式的论点，而不是关于 Warp 究竟泄露了什么的发现。

什么是已确立的，什么不是

档案将这条记录的置信度评为 A，且未将其标记为有争议；这一评级关乎文档记录而非问题解决：这些陈述在 CEO 的帖子、行业媒体和两份独立分析中保持一致。这并不意味着该事件已得到解释。下文的分歧正是这一区别的关键所在。

• 已确认：Warp 披露，其基础设施中的一家第三方供应商遭到入侵，且智能体追踪数据与遥测数据被访问。该披露来自 Lloyd 于 2026 年 10 月 26 日发布的帖子，BleepingComputer 于 10 月 27 日报道，且该帖内容在本文所审阅的所有来源中均一致。

• 已确认：Warp 于 2026 年 10 月 23 日星期五检测到该活动，称其在数小时内控制住了该活动，通知用户其已明确识别该活动，聘请 CrowdStrike 并通报执法部门。

• 已确认：所述范围是约1%用户的上限，而非实测数量，且该公司未公布任何账户数字。

• 归因但未经证实：此次入侵来自一个“智能体集群”，其使用了复杂的渗透与提权技术，可能始于某个供应商依赖项中的漏洞。这是 Warp 自己的初步评估，CEO 的措辞对此有所保留，且未得到任何外部方证实。

• 尚未确定：供应商的身份、受影响的产品、漏洞以及任何 CVE。泄露的追踪记录和遥测数据中包含哪些字段。源代码、提示词、凭证、完整对话或账户详情是否在其中。是谁实施了此次攻击。有多少用户收到了通知。供应商的其他客户是否受到影响或已被告知。总体危害是什么。

• 未确认的下游危害：Warp 未报告任何对泄露数据的不当使用，本文查阅的任何来源中，也没有将任何指控、账户封禁或勒索企图归因于此次事件。该档案所记录的危害，是代理专用运营数据的泄露，而非由此产生的已被证实的后果。

关于佐证的说明：这是本记录中最薄弱的一环。BleepingComputer 的报道是本文所审视的报道中最早的；BreachNews、Atlabyte 和 Archyde 根据同一篇 CEO 帖子重构了该事件；Cloud Security Alliance 在无法独立接触 Warp 的情况下对其进行了分析。如今已有多个组织描述了该事件，但它们读的都是同一份文件，且没有任何一方获得关于 Warp 内部或那家未具名供应商内部所发生情况的第二份叙述。报道来源的多样性佐证的是该披露，而非入侵本身。

档案如何将其归档

该条目记录为一起事件——即已实际发生的 AI 相关事件，而非预测——严重程度为中等，置信度为A，存在争议为否，实际危害为是，AI 参与情况为已确认，地区为全球，日期精确到日，即 2026 年 10 月 27 日。类型标签为EXFIL 和 INFRA：数据经由基础设施路径离开了该资产范围，而非源于产品本身的缺陷。

其中两个字段值得按字面理解。置信度 A 等级衡量的是该事件被记录得有多好，而记录确实很好：披露信息存在，其措辞在不同来源间保持一致，相关日期也经得起核对。它并不为“智能体集群”这一描述背书，也不证明范围估计的完整性。而 real_harm 为 true 对应的是智能体决策日志和遥测数据的暴露——这些记录描述的是一个团队和一个模型如何工作——而不是已证实有人使用了它们。medium 是否为合适的严重级别，在 Warp 说明哪些字段出现在追踪数据中之前无法定论；如果其中包含凭据或专有源代码，这个等级就会显得偏低，而本文审查过的任何来源都无法证实或排除这一点。

只要出现以下四种情况中的任何一种，这份记录的性质就会改变：一家具名供应商自行发布通知、一个 CVE、CrowdStrike 的取证报告，或监管机构的通知。截至 2026 年 10 月 29 日，上述情况均未出现。在其中任何一种出现之前，这仍是一份记录详尽、但技术内核异常单薄的披露——而这一落差，即某一类数据与其具体内容之间的落差，正是值得关注之处。