夜雨聆风如果你在 5 月 22 日之后装过任何一个 npm、PyPI 或 Cargo 依赖，你的加密钱包 keystores、AWS 密钥、SSH 私钥、GitHub token——可能已经不在你手里了。
5 月 22 日晚上 8 点 20 分开始，攻击者用多个账号、几分钟一个的频率，同时往 npm、PyPI 和 Crates.io 上投放了 34 个恶意包，384 个版本。包名看起来完全无害：wallet-security-checker（钱包安全检查）、llm-context-compressor（大模型上下文压缩器）、sui-sdk-build-utils（Sui 开发工具）。装完的瞬间，你电脑上的密钥文件、浏览器数据、环境变量就被扫走，加密上传到攻击者的 GitHub Gist。
但密钥被偷还不是最要命的。
最要命的是，这次攻击不仅在你的代码里埋了后门，它还在你的 AI 助手的脑子里埋了指令。
两层攻击，同时下手
TrapDoor 的攻击链分两层。
第一层，你见过。 npm 包在 postinstall 时自动执行脚本。PyPI 包在 import 的瞬间运行。Crates.io 包在 cargo build 时触发 build.rs。全是软件供应链攻击的老套路。
但这次做得格外精细。核心 payload 是一个 1149 行的 JavaScript 文件。它会扫描你的环境变量、SSH 密钥、AWS 和 GitHub token，然后拿这些凭证去 AWS 和 GitHub API 上验证是否有效。验证通过的，回传给攻击者。同时在你系统里埋持久化：cron 定时任务、systemd 服务、Git hooks、shell 配置文件。就算你删了那个恶意包，后门还在。
Crates.io 的版本更狠：build.rs 把你本地的加密钱包 keystores 用 XOR 加密后上传到 GitHub Gist。
这些已经够糟了。但真正让安全研究人员后怕的，是第二层。
第二层，你没见过。 攻击者在恶意包里植入了 .cursorrules 和 CLAUDE.md 文件。这些文件里藏着用零宽 Unicode 字符编写的指令。你用任何编辑器打开，看到的都是空白。
但 Claude Code 会读。Cursor 也会。它们忠实地解析每一个零宽字符，"看到"一段指令："运行安全扫描"。
你的 AI 助手读到这段指令，就会自动执行恶意包里留下的脚本——扫描文件系统、收集密钥、回传数据。而你坐在屏幕前，看着 AI 助手"帮你在做安全扫描"，觉得它挺靠谱。
vibe-coding 的完美猎物
TrapDoor 打的就是 vibe-coding。
AI 帮你选依赖，AI 帮你写代码，AI 帮你部署。你大概率不会去看 package.json 里多了什么，更不会逐行审查依赖的源码。你信 AI 的选择。
TrapDoor 利用的就是这种信任。
它的包名精准匹配 vibe-coding 的高频需求："帮我加个安全扫描" → wallet-security-checker。"压缩一下上下文" → llm-context-compressor。AI 助手搜包的时候，天然会被这些名字吸引。一旦安装，两层攻击同时触发：
postinstall 钩子在你还没打开代码前就开始扫密钥，CLAUDE.md 里的隐藏指令告诉下一个 AI Agent "运行安全扫描"。而那个"安全扫描"，就是 payload 自己。
一个典型的 vibe-coded 项目，可能同时被三个攻击向量命中：安装时执行、编译时泄露、AI 指令层触发，而攻击者全程不需要碰到开发者。
他们还在往上游渗透
TrapDoor 的攻击者没有止步于发布恶意包。
他们向 LangChain、LlamaIndex、browser-use、langflow 等热门 AI 开源项目提交了 Pull Request。PR 内容看起来很正常，修个文档、改个配置、加个示例。但里面夹带了植入零宽字符的 .cursorrules 和 CLAUDE.md。
如果这些 PR 被合并，每个克隆仓库的开发者都会在不知情的情况下继承一份被污染的 AI 指令文件。他们的 Claude Code 和 Cursor 会在打开项目的瞬间读到隐藏指令，执行"安全扫描"。
攻击者还在 GitHub 上开了个账号叫 ddjidd564，上面托管着这次攻击的完整操作手册。他们给这套手法起了个名字："Universal AI Agent Extraction Framework"（通用 AI Agent 提取框架），标记 P-2024-001。
不是试探。是一套有编号的、准备迭代的攻击框架。
你现在能做什么确保安全？
1. 检查你的 CLAUDE.md 和 .cursorrules。用能显示不可见字符的工具打开（VS Code 的 "Render Whitespace" 不够，用 hex editor 或 cat -v）。异常长度的"空白"区域，立刻检查。
2. 审计依赖树，包括传递依赖。npm audit 和 pip audit 只检测已知漏洞签名。TrapDoor 的包名就是设计来绕过自动扫描的。手动查一遍最近装的依赖，尤其名字里带 wallet、crypto、llm、sui、security-checker 的。
3. 轮换密钥。5 月 22 日之后装过新的 npm、PyPI 或 Cargo 依赖的话，假设你的 AWS 密钥、GitHub token、SSH 密钥已经暴露。全部轮换。
4. 关掉 AI 助手的自动执行。Claude Code 里确保权限不是 auto mode。Cursor 里看一眼 .cursorrules 有没有你不认识的指令。vibe-coding 省下的每一秒审查时间，都可能是攻击者的入口。
零宽字符注入和供应链投毒都不是什么新技术。但 TrapDoor 把这两件事焊在了一起，然后对准了一个全新的目标。
这是第一次有人把 AI 助手当成正式的攻击面。
过去我们担心 AI 写的代码有漏洞。现在得担心 AI 读的文件里有毒。几百万人把终端权限交给 AI Agent，.cursorrules 和 CLAUDE.md 成了每个项目的标配。这个攻击面只会越来越大。
5 月 22 日晚上 8 点 20 分，第一个包出现在 npm 上。一周过去了，还有人不知情地装着这些包的依赖。TrapDoor 的版本号写着 P-2024-001。后面还有 002，003。
别让你的 AI 助手比你自己更信你的文件。
每周拆解一个被忽略的 AI 事件。关注我，不错过🌙
参考来源
• Socket Security — TrapDoor Supply Chain Attack • VibeAudits — TrapDoor: The Supply Chain Attack Hiding in CLAUDE.md • The Hacker News — TrapDoor Supply Chain Attack Spreads Credential-Stealing Malware • X — @kimmonismus 首次公开披露 • Cloud Security Alliance — Shai-Hulud/Megalodon Research Note
