Blender MCP 钓鱼仓库曝光:山寨名多一个字母,数天骗 958 星投毒
Promptmethus · x · 2026-10-23
博主 @XueshiQiao 曝光一个 Blender AI MCP 钓鱼仓库:正版是 ahujasid/blender-ai-mcp-addon,钓鱼仓库 LiCinCan/blender-ai-mcp-addon 仅差一个字母,版权声明还挂着正版作者名字。该账号 10 月 15 日才注册,几天内刷出 958 星、388 fork,issue 列表也从正版抄来。
恶意机制:插件一启用就从同账号另一仓库下载 Python 环境,再从 .blend 文件里取出隐藏代码在 Blender 外静默执行,报错全被吞掉;114MB 的发布包里 exe 是分段拼接的,属典型恶意软件投递手法。GroK Bot 协助做了技术分析。
发帖人 Promptmethus 由此表示要用 C++ 重写全部代码直至操作系统和自研语言,减少外部调用以降低被黑风险。教训:安装任何 MCP/Skill/插件前,先让 AI 帮忙检查源码,不要因博主粉丝多就信任。
「编程与Agent」频道最新
- Reddit 开发者求问：如何防止 Agent 提示词越改越退化 — SleepFlimsy6963 · 2026-10-23
- 接付费商单该用什么模型?Reddit 创作者晒 Claude Code+ComfyUI 工作流 — newaccount47 · 2026-10-23
- 社科学者批 AI 圈：把 Agent 开发当会自动变好的黑箱 — RexDouglass · 2026-10-23
- 网友 vibe coding 出 Tesla Roadster 小游戏，赶在 GTA VI 之前 — Jasonio · 2026-10-23
- Codex CLI 0.164.0 报 account/read 错误，重启 daemon 可解 — bytebot · 2026-10-23
- 同为原生 UI:Swift 版 80MB 仅限 Mac,Zig 版 10MB 三端通吃 — jedisct1 · 2026-10-23