问题—— 近日，有安全社区研究人员对“360安全龙虾”安装包进行解压分析时发现，安装包某特定路径下以明文形式存放了泛域名SSL证书及对应的RSA私钥。业内人士指出，私钥是网络身份认证与加密通信的关键凭证——一旦被他人获取——理论上可能被用于伪造对应的域名的加密服务，从而实施中间人攻击、诱导访问、数据窃取或恶意程序分发等行为。由于相关企业长期以网络安全能力著称，此事很快引发关注。 原因—— 360公司回应称，私钥外泄源于发布环节的操作失误：用于内部域名的网站证书被误打包进对外公开的安装包。业内分析认为，密钥、证书等敏感资产需要覆盖生成、存储、调用、发布与审计的全生命周期管理；如果打包流程缺少自动化扫描、分级隔离与人工复核等控制，容易出现“开发方便”与“发布边界”之间的失衡。尤其在产品迭代加快、上线频繁的情况下，小疏漏更可能演变为外部风险。 影响—— 在用户侧风险上，360表示已第一时间吊销涉事SSL证书，目前证书已完全失效，从技术上降低了攻击者利用该私钥伪造服务器、劫持流量的可能，并称普通用户不会受到此次事件影响。尽管如此，事件仍对行业形成提醒：一方面，智能体工具正从技术人群走向更广泛的普通用户和企业用户，部署门槛降低的同时，错误配置、密钥暴露、插件投毒等问题一旦发生，传播更快、影响更广；另一方面，私钥泄露属于高敏感安全事件，即便通过吊销证书完成紧急处置，企业的安全治理与合规能力仍将接受更严格的检验，信任修复也需要时间与更透明的信息披露。 对策—— 360表示已启动内部排查，并将优化安全管理机制，避免类似情况再次发生。业内普遍建议，面向智能体部署工具及相关终端产品，应以“工程化安全”建立多重防线：其一，完善密钥管理制度，落实专用专管、最小权限与分环境隔离，严禁生产证书或内部域名证书进入公开构建链路；其二，在发布前引入自动化敏感信息扫描与软件物料清单管理，对安装包、镜像与脚本进行持续检测；其三，建立证书吊销、密钥轮换与应急响应的标准流程，做到发现即处置、处置可验证；其四，加强对插件与扩展生态的审核与沙箱隔离，降低“能力增强带来攻击面扩大”的系统性风险。 前景—— “龙虾”相关开源框架凭借自动办公、系统操作与接口调用等能力迅速走红，带动软硬件适配、部署服务及周边市场升温。同时，国家互联网应急部门及主管部门此前已发布安全预警，提示相关框架在默认安全配置、公网暴露、密钥泄露、插件投毒等存在风险，海外也出现过被攻击案例。业内人士认为，随着智能体应用进入规模化落地阶段，安全不再是“可选项”，而会成为产品准入与持续运营的基本门槛。企业若希望在竞争中获得长期信任，需要把“快速上线”和“安全上线”放在同一优先级，通过制度、工具与人员协同，形成可审计、可复盘、可持续改进的安全闭环。
AI智能体应用加速普及反映了技术进步，但前提是安全可控。360此次私钥泄露事件既是教训，也是提醒：再完善的安全产品与理念，如果在执行环节出现缺口，结果仍可能被一次疏漏拖累。面向AI时代，行业需要以更严谨的方式对待安全管理，让治理体系跟上产业发展节奏，才能为数字化、智能化的健康发展提供支撑。