微軟數十個開源AI工具遭供應鏈攻擊，大量開發者憑證被竊

微軟因遭遇黑客攻擊，緊急切斷了託管在GitHub上至少70個開源項目的訪問權限。黑客通過“供應鏈攻擊”將惡意軟件注入代碼中，旨在當用戶在Claude Code、Gemini CLI和VS Code等AI編碼應用中打開被入侵的工具時，竊取其密碼及敏感憑證。

微軟發言人本·霍普（Ben Hope）證實，公司在調查期間暫時刪除了相關存儲庫，目前部分代碼庫經審覈已恢復。這已是微軟開源項目在過去幾周內遭遇的第二起已知安全漏洞事件。今年5月中旬，其開源工具Durable Task就曾遭黑客入侵，安全機構OpenSourceMalware指出此次事件是對該項目的“再次入侵”。

在AI大模型與開源生態深度融合的當下，這起針對巨頭資源庫的入侵事件再次敲響了安全警鐘。隨着AI編碼助手滲透率大幅提升，開源供應鏈已成網絡攻防的新主戰場，如何構建更具韌性的代碼審查與安全防護機制，是AI時代各科技巨頭亟待解決的共性課題。