← AI 動態
Simon Willison
假面試真駭客！Rust 開發者遭鎖定，開源供應鏈遇襲
駭客正透過假造的面試或專案視訊通話，誘騙知名 Rust 開發者安裝惡意軟體，藉此取得權限發布惡意程式碼，對全球軟體供應鏈造成嚴重威脅。
資訊安全
軟體供應鏈
開源生態
近期資安團隊發出嚴重警告，駭客正發起一波針對 Rust 語言核心成員與熱門套件維護者的社交工程攻擊。攻擊者會假借工作面試或專案合作的名義邀請開發者進行視訊通話，隨後在通話中以「缺少音訊編解碼器」等理由，誘騙開發者下載惡意軟體或複製執行惡意指令。
這種手法的最終目的是掌控開發者的帳號權限，進而在熱門的開源套件中植入後門。上個月，知名的 array_ref 套件就因此遭到軟體供應鏈攻擊。由於現代軟體（包含各種 AI 模型與應用工具）高度依賴開源套件，一旦上游節點被攻破，將讓無數下游使用者的設備暴露於被駭風險之中。
專家建議，目前最有效的防禦方式是採取「依賴項冷卻期」策略，也就是在套件新版本發布後，先等待幾天再進行升級，讓社群有時間揪出潛在的惡意程式。企業在建置 MLOps 與自動化部署流程時，也務必將此類開源供應鏈資安風險納入嚴格考量。