乾淨 GitHub 儲存庫也能誘導 AI Coding Agent 執行惡意程式
乾淨 GitHub 儲存庫也能誘導 AI Coding Agent 執行惡意程式
事件事實
Mozilla 的 0DIN 研究展示一條間接提示注入攻擊鏈：公開儲存庫只放正常的安裝說明，套件第一次執行時故意報錯並要求初始化，初始化指令碼再從攻擊者控制的 DNS TXT 記錄取得內容並交給 shell。最終反向 shell 並不在儲存庫內，因此不容易被檔案掃描、人工 code review 或代理閱讀上下文時直接發現。成功後，攻擊者以開發者許可權取得本機檔案、環境變數及其他可讀取憑證。
研究判讀
0DIN 原始文章與 BleepingComputer 的獨立報導都強調，這是概念驗證，不是已證實的大規模攻擊活動。AI agent 的放大作用在於它會把 README、錯誤訊息、初始化指令和遠端設定串成一個「修復工作」，而人類通常只審查表面的命令字串。真正危險的邊界是「遠端資料被當作程式執行」，不是某一個模型名稱。
影響與限制
開發者應把陌生儲存庫的 setup 指令視為不受信任程式碼，先在無憑證、無生產網路的沙盒中執行；代理應展示完整的子程式、下載內容和 DNS 回應，不應以「初始化失敗」自動授權下一步。靜態掃描仍有價值，但無法取代執行期網路限制與最小許可權。研究示範的是可重用攻擊模式，並非每個普通儲存庫都已遭汙染。