微軟70多個開源庫遭Miasma蠕蟲投毒，與5月GitHub被搬空案系同夥所為

根據動察 Beating 監測，微軟托管在 GitHub 上的 70 多個開源程式庫因遭遇 Miasma 蠕蟲攻擊被緊急關停。受感染的程式庫主要包括 Azure Functions 主機進程，以及 Durable Task 任務編排框架在 .NET、Java、Go 和 JavaScript 等多語言下的開源版本。

微軟這次被投毒，與 5 月中旬 GitHub 內部程式碼被盜案系出同源。當時，駭客組織 TeamPCP 在微軟應用市場上架了帶毒的 VS Code 擴充程式，一名 GitHub 員工在短短 11 分鐘的上架空窗期內下載中招，導致電腦裡的憑證和密鑰全被竊取。駭客利用這些憑證繞過安全網，竊走了 GitHub 約 3800 個內部程式庫。得手後，TeamPCP 在論壇公開並開源了自復制蠕蟲框架 Mini Shai-Hulud。本次入侵微軟的 Miasma 蠕蟲，正是 Mini Shai-Hulud 的變種升級版。

Miasma 蠕蟲的運行機制專門針對 AI 程式設計場景。駭客利用此前竊取的微軟貢獻者 Token，向受信任的官方程式庫注入惡意程式碼。開發者只要在 Claude Code、Cursor 或 Gemini CLI 等 AI 助手中開啟或分析這些受污染的專案，程式設計助手在解析設定檔時就會自動觸發惡意載荷。蠕蟲啟動後會在背景掃盤，竊取開發者電腦裡的 AWS、GCP 和 Azure 雲憑證，以及 SSH 金鑰、npm/PyPI 令牌和 Kubernetes 金鑰，並利用新取得的憑證尋找下一個 GitHub 程式庫進行投毒，實現自動化自我複製。

這已經是微軟 Durable Task 開源專案在數周內第二次沒落（5 月底曾被植入過惡意 Python 依賴包）。針對 6 月初的惡意提交，GitHub 自動防禦系統反應極快，在程式碼提交後的 105 秒內便自動關停了 73 個受感染的程式庫，成功阻擋了蠕蟲擴散。目前，微軟已通知少數拉取了受損程式碼的開發者，開始緊急輪換憑證，並在安全審計後逐步恢復受影響的程式庫。安全機構提示，隨著供應鏈攻擊演變為針對 AI 智能體工作流的自動化蠕蟲，開發者需審慎評估在 AI 助手中直接運行未知程式庫的風險。