AI 编码代理可被“干净”GitHub 仓库诱导安装恶意软件，Mozilla 点出 Claude Code 风险

三层间接，所有步骤看似无害，都会让机器人措手不及。

当您通过我们网站上的链接购买时，我们可能会赚取联属佣金。这是它的工作原理。

• Whatsapp
• 红迪网
• 兴趣
• 翻转板
• 电子邮件 “跳出框框思考”被涂在世界各地数以百万计的激励海报上，这是对中层管理人员的强烈信息，并引起了大多数其他人的白眼。 然而，这正是 Mozilla 0din 的研究人员所做的，通过欺骗 Claude 以一种迂回但看似简单的方式运行恶意软件，只需要求它从一个看起来非常干净的 GitHub 存储库初始化一个项目。

然后，攻击者可以控制开发人员自己的帐户，访问他们的所有秘密、API 密钥、代码、文档、浏览器会话和密码。他们甚至可以安装额外的恶意软件来保持永久访问。 可以说，几乎每个机器人代理都容易受到这种类型的攻击，尽管 Claude 是编程任务的默认选择。

这是它的工作原理。受害者开发人员所要做的就是告诉 Claude 从恶意 GitHub 存储库初始化一个项目（或者告诉它在克隆它自己后进行配置）。 该存储库看起来非常干净，只有少量的脚手架文件，最重要的是，没有任何东西会触发安全工具，无论是远程的、本地的，甚至是 Claude 自己的检查。

克劳德将克隆该存储库。它将处理的第一个文件将是一个“自述文件”或 Markdown 文件，描述如何使用 Axiom 包（一种常用的监控工具）初始化 Python 环境。到目前为止，这似乎完全合法。 然而，有一个假的 Axiom 启动脚本，在第一次运行时只会出错。这是欺骗盒子的第一步，因为为了提供帮助并解决问题，它会运行另一个看似无害的命令来初始化 Axiom：“python3 -m axiom init”。

然后，这会触发一个 shell 脚本，下载一些软件来运行，这是另一个不会引起注意的标准操作。 但第二个技巧是，脚本不是从可扫描的恶意 URL 下载，而是读取特定域的 DNS 文本记录 - 在本例中为域“_axiom-config.m100.cloud”。 这看起来也很合理，例如电子邮件及其配置工具广泛依赖于 TXT 记录。

• Hades 恶意软件活动通过虚假核武器提示欺骗人工智能扫描仪
• Anthropic 最新的人工智能模型识别出“每个主要操作系统和每个主要网络浏览器”中的“数千个零日漏洞”
• 一系列错误如何让未经授权的用户访问 Claude Mythos 所述 TXT 记录包含一个编码（base64）字符串，该字符串仅打开反向 shell，这意味着它将在用户计算机上打开 shell，但重定向到攻击者的服务器以进行输入。此时，不法分子可以窃取用户有权访问的所有内容，并继续以用户身份运行软件。 与此同时，克劳德和受害者看到的只是“环境就绪”消息或类似消息。

如果您数过的话，就会发现这是三个间接步骤，其中任何一个步骤单独来看都没有什么特别之处。很少有（如果有的话）安全扫描工具甚至会标记存储库，并且除了实际打开远程 shell 之外，没有任何活动看起来特别奇怪。 网络访问控制非常严格的企业环境可以捕获它，但这并不是绝大多数开发人员操作的地方。还值得强调的是，这种特定的实现只是可以应用于更间接和更复杂的方法的概念的一个示例。

将 Tom's Hardware 的最佳新闻和深入评论直接发送到您的收件箱。

0din 团队在报告中指出了一个相当明显的结论：开发人员永远不应该盲目地将未知项目视为可信代码，当然也不应该出于安全分析目的而信任人工智能工具本身。 至于代理本身，0din 表示他们需要检查实际将运行什么以及如何运行，而不是简单地遵循步骤。

在 Google 新闻上关注 Tom's Hardware，或将我们添加为首选来源，以便在您的供稿中获取我们的最新新闻、分析和评论。

Bruno Ferreira 是《Tom's Hardware》的特约撰稿人。他在 PC 硬件和各种杂项方面拥有数十年的经验，同时也是一名开发人员。他痴迷于细节，并且倾向于在他喜欢的话题上闲聊。 当不这样做时，他通常会玩游戏，或者参加现场音乐表演和节日。

来源：Tomshardware