一篇GitHub问题标题通过AI工具链传播恶意代码，导致4000名开发者电脑被入侵。攻击利用提示注入、缓存污染和凭证窃取等手段，最终在受害者机器上静默安装恶意软件OpenClaw。该事件揭示了AI辅助开发工具的安全隐患。

GitHub问题标题漏洞导致4000名开发者设备被入侵

2026年2月17日，一个名为cline@2.3.0的恶意包被发布到npm平台。这个包通过修改package.json文件中的postinstall脚本，在开发者不知情的情况下全局安装了OpenClaw——一个具有系统完全访问权限的AI代理。在包被下架前的8小时内，约有4000次下载记录。

攻击链条分析： 1. 攻击者通过在GitHub问题标题中植入恶意指令，利用Cline项目配置的AI自动处理工作流漏洞（允许任何用户触发且未对输入进行净化） 2. AI机器人将问题标题中的指令误认为合法操作，执行了安装攻击者伪造仓库包的命令 3. 恶意脚本部署缓存污染工具Cacheract，触发GitHub的缓存淘汰机制 4. 夜间发布工作流运行时恢复了被污染的缓存，导致包含npm发布令牌在内的凭证被盗 5. 攻击者利用被盗凭证发布带后门的Cline版本

安全响应问题： - 安全研究员Adnan Khan早在2025年12月就发现并报告该漏洞，但未获回应 - 漏洞公开后，项目方虽然进行了修复，但在凭证轮换时操作失误，导致攻击者仍能利用旧凭证

新型攻击模式： 此次攻击的特殊性在于形成了一个"AI工具静默安装另一个AI代理"的递归供应链问题。开发者信任的Tool A（Cline）被攻陷后，在用户不知情的情况下安装了具有独立权限的Tool B（OpenClaw）。

现有防护措施的不足： - npm审计机制无法检测这种安装合法包的攻击 - 代码审查难以发现仅修改一行配置的变更 - 缺乏OIDC来源证明机制 - 安装过程中的生命周期脚本执行没有权限提示

项目方后续改进： - 取消在凭证处理流程中使用GitHub Actions缓存 - 采用OIDC来源证明机制 - 完善凭证轮换验证流程 - 建立正式的漏洞披露流程 - 对CI/CD基础设施进行第三方安全审计

架构安全问题反思： 此次事件暴露了AI代理在CI/CD环境中的安全隐患——当代理处理不受信任的输入（如issues、PRs）并拥有凭证访问权限时，缺乏对代理操作的评估机制。建议在系统调用层面对每个操作进行策略评估，无论触发源为何。

以下是评论内容的总结：

1. 安全漏洞问题

   • 有评论指出，cline-agent-helper安装脚本指向了一个包含恶意代码的分支库。
     "github:cline/cline#b181e0 actually pointed to a forked respository with the malicious postinstall script."
   • 另有评论提到，AI工具未对输入进行充分过滤，类似于SQL注入攻击的风险。
     "It's astonishing that AI companies don't know about SQL injection attacks..."

2. 对文章的批评

   • 有评论认为文章内容缺乏新意，只是重复了已有的信息。
     "This article only rehashes primary sources that have already been submitted to HN..."
   • 建议直接阅读原始研究报告。
     "The researcher who first reported the vuln has their writeup at..."

3. 对GitHub Actions的担忧

   • 评论认为GitHub的issues触发机制和pull_request_target一样危险。
     "GitHub's issues trigger is just as dangerous as the infamous pull_request_target."
   • 指出GitHub Actions功能过于宽泛，增加了安全风险。
     "GitHub Actions simply do too much... compromising a workflow there is much harder."

4. 对AI工具的反思

   • 有评论质疑AI工具的实际价值，认为其带来的问题多于解决的效率。
     "everyone is spending far more time and effort dealing with the problems introduced by shoving AI into everything..."
   • 另有评论呼吁类似事件应引起更多警惕。
     "How many times are we going to have to learn this lesson?"

5. 其他观点

   • 有用户提到正在开发更安全的工具来限制AI的调用范围。
     "We have been working on an issue triager action... to try to avoid that problem..."
   • 部分评论以幽默或讽刺的方式表达了对事件的态度。
     "The S in LLM stands for Security."
     "Did it compromise 1080p developers, too?"

总结：评论主要围绕安全漏洞、GitHub Actions的风险、AI工具的滥用以及文章内容的重复性展开，既有技术分析，也有对行业现状的反思和批评。