科技巨頭微軟在GitHub平臺上的數十個開源項目倉庫近日緊急下線。此次風波源於黑客成功入侵了這些項目，並惡意注入了旨在竊取用戶密碼的病毒代碼，引發了開發圈的強烈震動。

image.png

精準打擊AI開發者

安全公司 Cloudsmith 與惡意軟件分析網站 OpenSourceMalware 最早發現了此次異常。相關報告指出，受影響的項目主要集中在微軟 Azure 雲服務以及一系列熱門的 AI 開發工具上，包括用於集成 Claude Code、Gemini 命令行界面以及 VS Code 等 AI 編碼應用的關聯組件。

黑客通過在這些工具中植入惡意代碼，實施精準的“軟件供應鏈攻擊”。一旦開發者在本地通過 AI 編碼應用打開這些被篡改的工具，惡意程序就會悄然運行，嘗試竊取用戶的本地密碼及其他敏感憑據。

緊急下線排查隱患

微軟發言人隨後證實，出於安全保護的考量，公司在調查潛在惡意內容的過程中已暫時移除了至少 70 個相關代碼倉庫。目前，部分倉庫在經過安全複覈後已經重新恢復上線，而另一些存在風險的倉庫仍保持禁用狀態。

內部調查期間，微軟已經向一小部分可能拉取過受影響內容的客戶發出了安全通知。儘管微軟擁有極高的安全資源和防護能力，但這也是其近幾周內第二次被曝出開源項目遭黑客滲透，凸顯出當前 AI 開發生態所面臨的嚴峻安全拷問。