大规模供应链攻击致海量凭证泄露，AI包沦为突破口

2026年8月13日，知名科技媒体Ars Technica报道了一起令人震惊的供应链攻击事件。据报道，攻击者通过一个被植入恶意代码的AI软件包，成功从2500名用户手中窃取了总计达TB级别的凭证数据。这些数据包括API密钥、访问令牌、数据库口令等敏感信息，攻击者利用自动化脚本从用户环境中持续爬取并外传，整个过程隐蔽而高效。

攻击手法：看似寻常的依赖陷阱

这起攻击的特别之处在于，它并未利用零日漏洞，也没有针对特定企业的复杂渗透，而是选择了一个更简单、更具扩散性的路径——污染上游软件包。在现代软件开发中，AI项目高度依赖各类开源包和第三方库，开发者只需一条pip install或npm install命令，就能引入成千上万行代码。攻击者正是利用这种信任链，将恶意代码伪装成某个正常AI包的新版本，或者仿冒一个流行包的名字发布到公共仓库。

“当开发者安装一个看似无害的AI工具包时，恶意代码便悄悄在后台运行，收集环境变量中的密钥、读取配置文件、扫描内存中的凭证，然后通过加密通道发送到攻击者控制的服务器。”——安全研究员分析

据称，此次受影响用户多达2500名，泄露数据规模达到TB量级，意味着每位受害者平均泄露了数百MB的敏感信息。对于企业开发者而言，这类凭证一旦落入他人之手，可能导致云资源被滥用、内部系统被入侵甚至数据被二次勒索。

AI生态为何沦为重灾区？

AI开发领域近年来成为供应链攻击的“靶心”，并非偶然。一方面，AI项目依赖链极长，数据集、模型权重、预处理脚本、训练框架层层叠加，任何一个环节被篡改都难以察觉；另一方面，AI从业者往往更关注模型效果和算力效率，而在依赖审计、权限隔离、运行时监控方面投入不足。

更令人担忧的是，许多AI包在安装时会自动执行初始化代码，这为恶意行为提供了天然的“合法”入口。攻击者无需绕过安全沙箱，因为用户自己以高权限执行了恶意代码。这种设计上的便利，使得针对AI包的投毒攻击成功率极高。

行业反思：安全不能靠“自觉”

这起事件发生后，多家技术社区和云厂商已经发出警告，建议开发者立即检查近期安装的Python和Node.js包，轮换所有可能的凭证。然而，个案的处理并不能解决系统性的问题。

安全专家指出，软件供应链的安全责任不应全部压在开发者个人身上。包管理平台需要引入更强的验证机制，如代码签名、行为审计和恶意软件扫描；企业应该部署私有镜像仓库，并对所有依赖项进行自动漏洞检测；监管部门也需要针对关键基础设施和AI供应链制定强制性安全标准。

编者按：这场攻击的价值远超窃取凭证本身。它再次证明，在AI高速发展的背后，安全基础设施的每一条裂痕都可能成为一场灾难的起点。当技术创新成为生产力时，守护信任链的能力便是守护技术本身。

本文编译自Ars Technica