SLSA

深度分析

Microsoft GitHub 開源套件遭 Miasma 惡意程式植入，AI 編碼助手成攻擊載體

Microsoft 旗下的 GitHub 近期發現 73 個經加密驗證的開源套件被植入先進的竊密程式，會在開發者使用 AI 編碼助手時自動竊取 AWS、Azure、GCP 等雲端憑證。此惡意程式被稱為 Miasma，屬於 TeamPCP 追蹤的威脅組織，利用合法的 OIDC 令牌與 SLSA 供應鏈認證繞過傳統雜湊檢測。