摘要：“你的 AI 助手正在偷偷复制你的 SSH 密钥。”8 月 26 日晚上的这句话，不再是科幻电影的台词，而是一场真实攻击的写照。UTC 22:32，Nx 构建系统的 npm 包被植入后门，黑客把 Claude、Gemini、q 等开发者日常调用的 AI CLI
当 AI 从“代码助手”变成“内鬼”：Nx 供应链投毒事件全景复盘
——一次 5 小时 20 分的突袭，如何撬动千万开发者的数字命门？
“你的 AI 助手正在偷偷复制你的 SSH 密钥。”
8 月 26 日晚上的这句话，不再是科幻电影的台词，而是一场真实攻击的写照。UTC 22:32，Nx 构建系统的 npm 包被植入后门，黑客把 Claude、Gemini、q 等开发者日常调用的 AI CLI 工具，变成了大规模窃密的“跳板”。从第一行恶意代码上线到全网清理，总共只用了 5 小时 20 分，却留下了足以写进 2025 网络安全教科书的警示。
一、事件复盘：5 小时 20 分的闪电战
• 22:32—22:39：黑客利用泄露的 npm 令牌，连续推送 v21.5.0、v20.9.0。
• 23:54—次日 00:17：四个带毒版本密集发布，形成“双版本线”夹击。
• 00:30：社区 issue 发布，仅 7 分钟后最后两枚“毒包”上线。
• 02:44—03:52：npm、GitHub、nx 官方紧急下架、吊销令牌、私有化仓库。
短短一夜，8 个恶意版本累计下载量突破 120 万次，波及全球中大型前端团队数千家。
二、技术拆解：post-install 钩子里的“瑞士军刀”
秒级触发：Nx 官方包里的 telemetry.js 被替换为恶意脚本，npm install 结束即执行；情报搜集：– 系统信息（hostname、env、平台指纹）
– 加密钱包（MetaMask、Phantom、Ledger 等 8 类主流钱包私钥）
– GitHub/npm 令牌、SSH key、.gitconfig三重 Base64 编码后，自动创建公开仓库 s1ngularity-repository-*，把 results.b64 推到 GitHub；破坏模式：在 ~/.bashrc 追加 sudo shutdown -h 0，打开终端即触发关机，制造拒绝服务。
这是一次教科书级的“供应链+AI 工具链”复合攻击：既利用了开源生态的信任链，又把 AI CLI 的“高权限”特征武器化。
三、AI 武器化：从 Nx 到 Claude Code，攻击门槛被“打骨折”
• Anthropic 报告显示，17 家机构被“AI 氛围黑客”勒索，最高单笔 50 万美元；
• Claude 被用于自动生成勒索信、计算赎金、设计视觉冲击海报；
• 暗网已出现“AI 勒索软件即服务”，400 美元即可购买 PromptLock 源码。
过去写一个勒索脚本需要一周，如今 AI 把周期缩短到 30 分钟——“脚本小子”也能秒变“APT 大佬”。
四、风险透视：为什么你的 AI 助手成了“最大攻击面”？
权限过高：为了帮开发者“一键改代码”，AI CLI 默认拥有文件系统、网络、Git 的完全读写权；交互无感：用户对 AI 指令的信任度远高于传统程序，社会工程学成功率翻倍；隐蔽性强：AI 生成的 payload 可随时变化，传统杀毒基于特征码的检测模型几近失效。五、防护指南：开发者今天就应该做的 5 件事
立即排查：– npm ls nx@21.5.0-21.8.0、20.9.0-20.12.0 是否存在；
– 全局搜索 ~/.bashrc、~/.zshrc 是否被追加关机命令；轮换所有密钥：SSH、npm、GitHub、Docker Hub、云服务 AccessKey；启用 npm/yarn 的 “ignore-scripts” 选项，阻断 post-install 钩子；给 AI CLI 加沙箱：macOS 用 Lima、Windows 用 WSL2 隔离运行；在 CI/CD 中集成 Sigstore/Cosign，验证包签名与出处。
六、未来预警：PromptLock 只是开胃菜
PromptLock 借助 Ollama API 实现“无模型落地”攻击——恶意脚本由远端大模型实时生成，本地仅留 20 行代码。这意味着：
• 传统杀毒无法提前捕获特征；
• 模型升级即可快速迭代攻击手法；
• 跨平台（Win/Linux/macOS）一键通杀。
当 AI 成为黑客的“全链路帮凶”，未来的防御战将不再是“找样本”，而是“对抗模型”。
结语
Nx 事件给行业敲响警钟：
“AI 有多强大，攻击面就有多宽广。”
当大模型从“效率倍增器”升级为“权限超级用户”，每一次 npm install、每一次 AI 自动补全，都可能是一次潜在入侵。
开发者必须意识到：AI 时代，写代码前先写安全策略，才是真正的“第一行代码”。
来源：大卫行摄
