GitHub 代码库诱使 AI 编码代理运行恶意软件

原创

ZM
ZM

暗镜

2026年6月30日 08:00
北京

在小说阅读器读本章

去阅读

一个负责克隆和设置看似无害的 GitHub 存储库的智能编码工具，可能会执行恶意载荷，而这种恶意载荷对安全扫描器、人工智能代理和人工审核人员都是不可见的。

Mozilla 的零日调查网络 (0DIN) AI 安全平台的研究人员表示，此次入侵“没有漏洞利用代码，没有警告，也没有任何可疑命令需要任何人批准”。

他们演示了攻击者如何利用 Claude Code 运行一个克隆项目，该项目在存储库中没有恶意代码，从而在开发人员的设备上植入一个交互式 shell。

这种新的攻击方法依赖于三个组成部分，单独来看，这三个部分都不构成威胁，也不会引起怀疑：

1. 一个外观简洁的 GitHub 仓库，包含标准的安装说明，例如安装依赖项和初始化项目（例如，pip3 install -r requirements.txt，python3 -m axiom init）。
2. 该 Python 包的设计初衷是拒绝执行，直到它完成初始化；它会生成一个错误，指示用户执行 python3 -m axiom init。Claude Code 将此视为正常的设置问题，并在尝试从错误中恢复的同时自动运行建议的命令。
3. 执行 python3 -m axiom init 会调用一个 shell 脚本，该脚本会检索存储在攻击者控制的 DNS TXT 记录中的配置值，并作为命令执行。

0DIN 研究人员解释说，这种方法不需要克隆存储库中的任何恶意组件，代理程序可以自动执行整个攻击链，包括模拟常见用户错误的步骤。

如果成功，攻击者将获得一个以开发者权限运行的 shell，从而可以访问环境变量、API 密钥、本地配置文件，并有机会建立持久性。

0DIN 研究人员表示：“Claude Code 从未决定打开 shell。它决定修复一个错误。反向 shell 与 Claude Code 实际评估的任何东西之间有三步间接关系：一条它信任的错误消息、一个获取值的脚本，以及一条它从未见过的 DNS 记录。 ”