攻击者劫持AI编程助手会话,在近100个仓库中传播Shai-Hulud 蠕虫

在仓库传播事件之前，该编程助手推荐了一款被攻击者投毒的软件且该推荐被采纳。该蠕虫窃取了仓库机密以及该公司产品的源代码。

Mandiant公司在2026年9月发布的报告中披露了这一案例，但并未说明入侵发生的时间以及攻击者如何接管正在运行的编程助手会话。

攻击的运作方式

在推荐被采纳后，攻击者利用开发人员正在运行的会话，通过一个被投毒的PyPI包安装了信息窃取程序。攻击者还窃取了GitHub OAuth令牌。随后，攻击者将可自我传播的Shai-Hulud蠕虫部署到约100个内部代码仓库中。

攻击者还在该公司官方命名空间中投毒了一个包。另一名员工拉取了受陷版本，导致第二次感染。Mandiant此前已经记录了攻击者在真实攻击中使用AI的情况。该公司在2026年3月的一份报告中表示，攻击者在2025年期间已从主要利用生成式AI加快工作速度，转向在恶意软件和主动攻击中使用大型语言模型。

如何保护AI辅助开发安全

针对这一案例，Mandiant为AI辅助开发建议了三项控制措施：

近期Shai-Hulud家族还针对开发工具和凭据发动攻击。8月，一个与Keyv相关的npm蠕虫投毒了数百个包，并为Claude Code和Visual Studio Code植入了钩子，而随后分析发现，Shai-Hulud的一个变种在开发人员系统、CI/CD工具、云配置和AI工具文件中扫描了469个位置以寻找凭据。不过这些都是各自独立的攻击活动，现有证据无法证明它们与Mandiant所述的这起未具名入侵事件相关。