在軟體開發流程中，AI 程式碼助手已成為提升生產力的核心工具，但其便利性也為攻擊者開啟了新的入侵路徑。根據資安公司 Mandiant 於 2026 年 9 月發布的報告，一家未具名的軟體即服務（SaaS）供應商遭遇了嚴重的安全事件。攻擊者成功劫持了一名開發人員的 AI 程式碼助手活動會話，並利用該權限將名為 Shai-Hulud 的蠕蟲程式擴散至約 100 個內部程式碼儲存庫（Repository），導致大量產品原始碼與機密資訊外洩。
此次攻擊的核心在於對 AI 推薦機制的操縱，即所謂的供應鏈污染。攻擊者首先對特定的第三方軟體套件進行「投毒」，使其包含惡意代碼。當開發人員使用 AI 助手尋找解決方案或推薦套件時，AI 助手推薦了該被污染的軟體，而開發人員在未經詳細審查的情況下接受了建議並將其引入專案。這種攻擊方式利用了開發者對 AI 建議的高度信任，將惡意代碼直接植入開發環境。
入侵過程與擴散機制
一旦開發人員接受了 AI 推薦的投毒套件，攻擊者便能利用該開發者當時處於活動狀態的會話（Session），透過 PyPI（Python 套件索引，Python 語言最主要的第三方套件管理系統）安裝資訊竊取程式（Infostealer）。這類程式專門設計用來掃描系統中的敏感資訊，本次事件中，攻擊者成功竊取了 GitHub 的 OAuth 令牌（OAuth Tokens，一種允許第三方應用程式在不獲知密碼的情況下存取使用者帳戶的授權憑證）。
取得授權憑證後，攻擊者部署了具備自我傳播能力的 Shai-Hulud 蠕蟲。該蠕蟲能在公司內部的程式碼儲存庫之間自動跳轉，迅速將感染範圍擴大至約 100 個儲存庫，旨在大規模搜集儲存庫中的機密金鑰（Secrets）與產品原始碼。更嚴重的是，攻擊者還污染了該公司官方命名空間（Namespace）下的套件。當另一名員工下載並使用這個官方版本時，觸發了第二次感染，形成了內部開發環境的連鎖反應。
AI 驅動攻擊的趨勢與演進
Mandiant 的分析指出，攻擊者使用生成式 AI 的模式已發生顯著轉移。在 2025 年之前，攻擊者主要利用 AI 來加速編寫惡意代碼或優化釣魚郵件的文案；但到了 2026 年，大型語言模型（LLM）已被直接整合進惡意軟體中，或被用於執行主動攻擊。
除了本次事件，近期出現的多起 Shai-Hulud 系列攻擊也顯示出針對開發工具的趨勢。例如 2026 年 8 月曾出現與 Keyv 相關的 npm 蠕蟲，污染了數百個套件並在 Claude Code 與 Visual Studio Code 等開發工具中植入鉤子（Hooks，一種能攔截或修改程式執行流程的機制）。另有變體被發現會掃描開發系統、持續整合與持續部署（CI/CD）工具、雲端配置以及 AI 工具設定檔中的 469 個潛在憑證存放位置。雖然這些活動與本次 SaaS 供應商的事件在證據上尚未被證實為同一組織所為，但其攻擊目標高度一致，均聚焦於開發者的憑證與工具鏈。
防禦策略與實務限制
面對 AI 輔助開發帶來的新風險，單純依賴 AI 的安全性設定已不足夠。Mandiant 建議採取三項具體控制措施來強化防禦。首先，開發者必須對 AI 推薦的第三方依賴項進行嚴格驗證，使用加密雜湊值（Cryptographic Checksums，用於確保檔案未被篡改的數位指紋）比對，並僅允許使用經過審核的白名單套件。
其次，應採取嚴格的憑證隔離策略。原始的 API 金鑰、長效期的 OAuth 令牌等敏感機密，不應放置在 AI 插件或擴充功能可直接存取的路徑中，以防止會話被劫持後導致機密直接外洩。最後，企業應建立受控的內部儲存庫（Internal Repositories），將所有對外套件的流量導向內部代理伺服器，在進入開發環境前先進行安全掃描與審核。
這類攻擊揭示了 AI 整合進開發流程後，信任鏈條變得更加脆弱。當 AI 成為開發者的「導航員」時，任何對 AI 推薦內容的盲目信任都可能成為企業安全的最大漏洞。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。