一位开发者在 V2EX 发帖称，自 10 月 20 日起其 GitHub 几乎所有私人仓库频繁遭到入侵，并将矛头指向阿里云效，怀疑后者泄露了自己的 GitHub OAuth Access Token。攻击行为包括：向仓库提交伪装成字体文件 woff2 的恶意脚本，内含窃取各类 secrets 的代码，并借助 .vscode/tasks.json 自动化任务间接触发执行；提交恶意 shell 脚本，试图通过 npm 的 postinstall 钩子执行；以及莫名创建异常分支。发帖人判断攻击由 AI Agent 批量完成：提交操作速度极快，postinstall 脚本明显依据 package.json 上下文生成，风格酷似项目原有代码，且其他平台有用户遭遇类似攻击，恶意载荷同样是按上下文生成的 yaml 文件。排查过程中，作者逐一排除了多种可能：其 PAT 权限已缩减至无写权限，不可能引发写入；生成全新 SSH Key 并保持不使用后攻击仍发生，排除本地密钥泄露；账号开启 2FA 且安全日志显示登录地区均在预期内，排除账号被盗登录。文章结尾正排查 VPS 等间接渠道时正文截断，但标题表明最终证据指向阿里云效。作者表示所有攻击、提交和日志均有截图佐证，发帖供社区 review，如有误将公开道歉。
事件分析
该事件的技术看点在于攻击形态的升级：恶意载荷不再是通用的撒网式投毒，而是由 AI 依据每个仓库的 package.json、任务配置等上下文动态生成，伪装度显著提高，传统的静态特征扫描和人工 code review 难以识别。woff2 伪装、tasks.json 触发、postinstall 钩子三个环节组合，构成了针对开发者本地环境的完整攻击链。产业层面，事件暴露了 CI/CD 平台 OAuth 授权链路的审计盲区——开发者授予第三方平台的 token 权限范围、有效期管理与异常行为监控普遍薄弱。可能的后续走向包括阿里云效方面的安全回应与澄清、GitHub 对第三方 OAuth 应用权限的收紧，以及社区对开发者凭证全生命周期治理规范的讨论。需注意的是正文截断，关键证据链尚未完整呈现，结论有待官方核实与社区交叉验证。
核心观点：AI 让供应链攻击从撒网式投毒升级为按仓库上下文量身定制，凭证授权链的每一环都可能成为突破口。
原文链接：V2EX 分享发现
