AI工作空间劫持：Jscrambler NPM攻击剖析

Reddit r/artificial 新闻
supply-chain-attack npm-security malware ai-tools credential-theft rust-infostealer jscrambler

摘要

攻击者劫持了Jscrambler的NPM凭证，发布了恶意版本，利用一个未记录的基于Rust的信息窃取器，从Cursor和Claude Desktop等AI工具中窃取API密钥和开发者历史记录。

90秒要点总结： - **凭证窃取**：攻击者劫持了Jscrambler在NPM上的凭证，发布了8.14.0至8.20.0版本，其中包含恶意钩子。 - **Rust信息窃取器**：该入侵利用一个未记录的安装前钩子，执行了一个原生的、跨平台的基于Rust的二进制有效载荷。 - **针对AI工具**：恶意软件扫描Cursor和Claude Desktop的本地文件夹配置，窃取API密钥和开发者历史记录。 - **结构缺陷**：NPM生命周期脚本以与运行npm install的开发者相同的本地权限执行任意二进制文件。 - **修复措施**：升级到Jscrambler 8.22.0，在全局npmrc中强制启用 ignore-scripts，并对依赖安装进行沙箱化处理。
查看原文

相似文章

微软的开源工具遭黑客攻击，窃取AI开发者密码

Hacker News Top

微软在GitHub上的开源项目遭黑客攻击，被植入窃取密码的恶意软件，目标指向使用Claude Code和Gemini CLI等工具的AI开发者。该公司暂时移除了数十个代码仓库，并正在调查这一入侵事件。