黑客用假AI插件狂刷1400万次下载，连大模型都被骗了

原创

网络研究观
网络研究观

网络研究观

2026年7月25日 21:49
福建

在小说阅读器读本章

去阅读

GitHub 惨遭“毒针”！试想一下：你正在用 AI 助手写代码，顺口吩咐了一句：“帮我找个能连接 WhatsApp 的 AI 插件呗。”

AI 助手迅速搜到一个看似官方、满赞好评的工具，甚至还贴心地写好了安装教程。你毫无防备地点下了“运行”——结果，你的电脑已经被黑客彻底攻陷，账号密码和隐私瞬间泄露。

这并非科幻小说，而是真实发生的网络安全风暴。

网络安全公司Island揭露了一起名为 FakeGit 的大规模黑客攻击事件。黑客通过建立成千上万个伪造的开源项目，打着“AI 智能体技能包”和“MCP（模型上下文协议）服务器”的旗号诱骗下载。至今，这些毒软件包已被下载了超过 1400 万次！

一、事情是怎么发生的？黑客的“工业化造假”

为了取得恐怖的下载量，黑客搞了一套极其逼真的造假流程。

黑客注册了约 6600 个虚假账号，在 GitHub 上建立了 7600 多个恶意项目仓库。为了让假仓库看起来跟真的一样，他们把造假做到了极致：

1. 盗用真实开发者身份：直接使用圈内小有名气的程序员头像和名字，让人误以为是权威大牛的作品。

2. 刷赞与伪造分支（Stars & Forks）：利用自动化脚本刷赞，制造“这个工具超火、大家都赞不绝口”的假象。

3. 搬运真实代码与文档：直接抄袭正规开源项目的说明文档（README），只在关键的下载链接上“做手脚”。

当你（或者你的 AI）搜到一个功能齐全、界面漂亮、还有成百上千人点赞的工具时，谁能想到这背后其实是个陷阱？

这些陷阱主要瞄准了最火的 AI 开发场景。黑客声称这些插件可以帮 AI 智能体对接以下服务：

1. 下诱饵：项目的说明文档（README）建议你下载一个包含安装程序的 ZIP 压缩包。

2. 悄悄生根：压缩包里藏着一段用 Lua 语言写的恶毒脚本。运行后，它会启动 SmartLoader 下载器，并将其写入系统的“定时任务”里。即使关机重启，它依然会在后台偷偷运行。

3. 区块链隐藏暗号：为了躲避杀毒软件，SmartLoader 会去 Polygon 区块链上的智能合约提取控制服务器地址，随后下载加密的恶意组件。

4. 终极盗窃（StealC 木马）：最后，著名的 StealC 盗号木马 侵入设备，将浏览器保存的密码、加密货币钱包密钥等隐私打包发给黑客。

根据追溯，该攻击由黑客组织 Water Kurita 主导。他们从 2026 年 3 月开始尝试 AI 领域的投毒，并在 4 月批量制造了上千个伪造仓库。

这次事件中最让人脊背发凉的，是一种被称为 AgentBaiting（智能体投毒） 的新型攻击模式。

在过去，黑客需要想方设法诱骗“人类”去点击链接；而在 AI 时代，黑客的目标直接变成了“AI 助手”。

现在的开发者习惯让 AI 辅助写代码（如 ChatGPT、Gemini、Claude 等）。当你下达指令：“帮我配置一个能读取 Docker 状态的 MCP 服务器”时，AI 会自己上网搜索相关的代码库。

黑客正是利用了这一点！他们在假仓库里写满了高频关键词和完美的说明文档。AI 检索时无法像人类那样辨识真伪，极易把黑客的假文档当成正规官方文档推荐给用户。

安全团队在测试中发现：

ChatGPT、Gemini 和 Claude 在没有指定具体网址的情况下，主动把 FakeGit 的恶意仓库推荐给了用户，甚至附上了带毒的安装步骤。
Claude Code 甚至自动克隆（Clone）了恶意仓库并下载了文件！虽然 AI 在后续校验中觉得文件行为诡异紧急止损，但风险显而易见：如果 AI 的权限再大一点，它可能就直接把木马装进电脑里了。

此外，由于 LobeHub、Glama、MCP.so 等公共 AI 插件市场会自动抓取索引，黑客的假工具被这些平台自动收录了 600 多次。有了大平台和 AI 助手的双重背书，普通开发者极难防范。