For the 2nd time in weeks, Microsoft packages laced with credential stealer

AI 摘要

一句话摘要: 微软73个开源包被植入凭证窃取代码，通过AI编码代理触发，构成供应链攻击。 关键事实: 1. 73个经加密验证的微软开源包被篡改，添加了高级凭证窃取代码。 2. 攻击代码在开发者通过AI编码代理打开包时被触发，GitHub仅以“违反服务条款”禁用包，未明确警告恶意性。 3. 这是数周内微软第二次遭遇类似供应链攻击，涉及Azure Functions等仓库。 涉及主体: 微软、GitHub、StepSecurity、OpenSourceMalware、AI编码代理用户。 可能影响: - 暴露AI编码代理在供应链安全中的脆弱性，可能引发对AI工具集成开源包的信任危机。 - 促使行业加强开源包验证和AI代理行为监控，推动更严格的供应链安全标准。 - 微软声誉受损，可能加速其安全响应流程改进。 是否值得继续跟踪: 是。此类攻击针对AI开发流程，且微软作为核心基础设施供应商反复受影响，需关注后续修复措施、攻击手法演变及行业应对策略。 噪音/炒作风险: 中。事件真实且影响面广（涉及AI开发工具），但微软已快速响应，且攻击范围有限（73个包），需警惕过度解读为系统性危机。