AI开发生态正在成为新的安全攻击目标。
区块链安全公司 SlowMist 的安全专家警告称,AI开发平台 ClawHub 存在潜在供应链攻击风险,原因是该平台依赖 GitHub 账户进行登录认证。
安全分析指出,如果攻击者利用此前 Sha1-Hulud 蠕虫窃取的GitHub凭据,即可获得开发者权限并登录ClawHub。
攻击流程可能包括:
- 钓鱼或恶意程序窃取GitHub凭据
- 攻击者获取开发者账户权限
- 以开发者身份登录ClawHub
- 发布带有后门的Skills插件
- 用户下载插件后执行恶意代码
安全研究人员提醒开发者启用多因素认证并定期检查账户权限,以降低被攻击风险。




