開源安全工具的漏洞，往往比它檢測的漏洞更致命。一個GitHub配置錯誤，讓全球超過1000個SaaS環(huán)境成了攻擊者的提款機。

這不是假設(shè)，是正在發(fā)生的事。

上周，開源漏洞掃描器Trivy遭遇供應(yīng)鏈攻擊。攻擊者TeamPCP在版本0.69.4中植入惡意代碼，開發(fā)者只要運行掃描，API密鑰、云憑證、數(shù)據(jù)庫密碼就會悄無聲息外泄。Mandiant Consulting CTO Charles Carmakal在RSA大會期間的Google活動上透露：「我們知道目前有超過1000個受影響的SaaS環(huán)境正在積極應(yīng)對這一特定威脅?！顾€補了一句：「這1000多個下游受害者可能會再擴展出500個、1000個，甚至10000個?！?/p>

漏洞2月就暴露，補丁從未真正落地

諷刺的是，這次攻擊的種子早在三個月前就埋下了。

今年2月，同一批攻擊者利用Trivy的GitHub Action組件配置錯誤，竊取了一個高權(quán)限訪問令牌。安全研究員Paul McCarty上周發(fā)出警告時，這個安全問題從未被徹底修復(fù)。攻擊者一直握著鑰匙，只是等到上周才開門。

TeamPCP的手法很直接：推送惡意容器鏡像和GitHub release包。開發(fā)者把Trivy嵌進CI/CD流水線做日常掃描，這本是標準操作，現(xiàn)在卻成了自動泄露機密的通道。

更麻煩的是，攻擊范圍遠不止Trivy一家。

AI中間件被卷入，36%云環(huán)境受波及

Google旗下安全公司W(wǎng)iz發(fā)現(xiàn)，同一波供應(yīng)鏈攻擊還感染了liteLLM——一款A(yù)I中間件，存在于36%的云環(huán)境中。Wiz首席研究員Ben Read評價：「通過橫向滲透攻擊liteLLM這類覆蓋超過三分之一云環(huán)境的工具，他們正在制造雪球效應(yīng)。」

Read的描述很克制，但數(shù)據(jù)很刺眼。liteLLM是連接大模型和應(yīng)用的管道，被感染意味著攻擊者可以截獲AI調(diào)用中的敏感數(shù)據(jù)，甚至篡改模型響應(yīng)。

Carmakal透露，這些犯罪分子主要分布在美國、英國、加拿大和西歐?！杆麄円詷O其激進的勒索手段聞名，」他說，「聲音很大，攻擊性很強，未來幾天、幾周、幾個月我們都會看到影響?！?/p>

而Read的觀察更深層：「我們看到供應(yīng)鏈攻擊者與Lapsus$等高知名度勒索團伙之間出現(xiàn)了危險的融合?！?/p>

Lapsus$入場，勒索游戲升級

Lapsus$不是普通黑客組織。這個團伙曾攻破微軟、英偉達、三星等巨頭，擅長竊取源代碼和機密數(shù)據(jù)后公開勒索。他們的特點是高調(diào)、快速、不講武德——拿到數(shù)據(jù)直接發(fā)Telegram炫耀，不給贖金就公開。

現(xiàn)在，Trivy攻擊者正在與這類團伙合作。Carmakal說的「聲音很大，攻擊性很強」，翻譯過來就是：受害者會收到勒索信，數(shù)據(jù)會被掛到暗網(wǎng)，公司聲譽會跟著崩盤。

攻擊者在Telegram上公開喊話，計劃繼續(xù)針對更多熱門開源項目。這不是偷完就跑，是系統(tǒng)性戰(zhàn)役。

開源供應(yīng)鏈的悖論在于：越流行的工具，攻擊面越大。Trivy被廣泛用于掃描漏洞，結(jié)果自己成了漏洞源頭。liteLLM幫開發(fā)者簡化AI接入，現(xiàn)在成了攻擊者的跳板。開發(fā)者信任開源生態(tài)的「眾目睽睽」，但「眾目」往往看不見配置錯誤和權(quán)限泄露。

Wiz的統(tǒng)計顯示，這次攻擊的受害者數(shù)字還在膨脹。Carmakal的預(yù)測是保守估計——考慮到Trivy和liteLLM的滲透率，實際影響可能遠超10000個環(huán)境。

安全團隊現(xiàn)在面臨兩難：升級工具怕帶毒，不升級怕漏掃。而攻擊者正在利用這個窗口期，把竊取的憑證變現(xiàn)成勒索籌碼。

據(jù)攻擊者自己的Telegram消息，下一批目標已經(jīng)圈定。開源項目的維護者們，大概正在檢查自己的GitHub配置。