Claude 拦下伪装成认证错误的朝鲜供应链攻击代码
banteg · x · 2026-10-28
开发者 @shawmakesmagic 自述：Claude 帮他躲过一次朝鲜发起的供应链攻击，事后 Anthropic 高管与社区广泛转发。
配图显示，攻击者在一个名为「lalalune」的可疑 PR 中提交了伪装成普通认证配置的代码：通过 atob(process.env.AUTHAPIKEY) 解码出远端地址，拉取内容后直接 eval() 执行；一旦失败只报「Auth Error!」，把远程代码执行（RCE）藏在看似正常的鉴权报错里，极具迷惑性。
这是 AI 编码助手在真实安全事件中发挥价值的典型案例，也提醒开发者对 PR 中涉及 eval、动态 import、环境变量解码的代码保持警惕。
「编程与Agent」频道最新
- 开源 Free Claude Code:61 家模型商免订阅接入 Claude Code — JafarNajafov · 2026-10-28
- 创业公司 Only Then Labs 提案：Agent 的旧批准不能当永久授权 — tallmetommy · 2026-10-28
- Google 免费放出 2 小时多智能体系统工作坊，从单 Agent 讲到图编排 — rseroter · 2026-10-28
- Omarchy 4.5 RC2 发布:每显示器独立工作区与浮动布局 — mark_k · 2026-10-28
- Expo 官方开源 AI Agent 技能集,GitHub 星数突破 3300 — expo · 2026-10-28
- 有人想做 Google Play 上传 MCP?发布生产环节敢交给 agent 吗 — Extender7777 · 2026-10-28