攻击者劫持 AI 编程助手会话，将 Shai-Hulud 传播至约 100 个代码仓库

Mandiant 表示，一名攻击者劫持了一家未具名软件即服务 (SaaS) 提供商的一个活跃 AI 编程助手会话，随后将 Shai-Hulud 传播至约 100 个内部代码仓库。

在向仓库传播之前，该编程助手推荐了攻击者已下毒的软件，且该推荐被接受。该蠕虫窃取了该公司产品的仓库机密信息和源代码。

该案例出现在 Mandiant 2026 年 9 月的报告中。这份公开案例研究未说明入侵发生的时间，也未说明攻击者如何接管了该活跃的编程助手会话。

攻击是如何展开的

在该推荐被接受后，攻击者利用开发者的活跃会话，通过一个被下毒的 PyPI 包安装了信息窃取器。攻击者还窃取了 GitHub OAuth 令牌。

随后，攻击者将自我传播的 Shai-Hulud 蠕虫部署到约 100 个内部代码仓库中。

攻击者还在该公司的官方命名空间中对一个包进行了下毒。另一名员工拉取了被攻陷的版本，导致了第二次感染。

Mandiant 此前已记录过攻击者在真实攻击中使用 AI 的情况。在 2026 年 3 月的一份报告中，它表示攻击者在 2025 年期间已从主要使用生成式 AI 来加快工作速度，转变为在恶意软件和主动攻击中使用大语言模型。

防御者如何保护 AI 辅助开发

针对此案例，Mandiant 为 AI 辅助开发推荐了三项控制措施：

• 将 AI 推荐的第三方依赖与加密校验和及批准的允许列表进行比对。
• 使原始 API 密钥、长期有效的 OAuth 令牌和其他机密信息不处于扩展程序的直接触及范围内。
• 将依赖流量经由受控的内部仓库进行路由。

近期 Shai-Hulud 家族的攻击还针对了开发者工具和凭据。8 月，一场与 Keyv 相关的 npm 蠕虫对数百个包进行了下毒，并为 Claude Code 和 Visual Studio Code 植入钩子；随后的一项分析发现，一个 Shai-Hulud 变种会扫描开发者系统、CI/CD 工具、云配置和 AI 工具文件中的 469 处位置以寻找凭据。

这些是相互独立的攻击活动，现有证据并未将它们与这起未具名的 Mandiant 入侵事件相关联。