mylogs.cn

给 AI 装的技能包，可能正在偷你的密钥

2026 年 8 月 8 日

发布于

经验与技巧

如果你在用 AI 编程助手，多半装过几个”技能包”（skill）——一组教 AI 智能体完成特定任务的指令，装上就能扩展能力，跟装浏览器扩展一样顺手。

问题是这份顺手正在被人利用。Zenity Labs 在 Black Hat USA 2026 披露，公开技能包注册表已成新供应链投毒战场，规模不小。

攻击手法：先当好人，攒够信任再动手

这轮攻击发生在 skills.sh——Vercel（面向 Web 应用的云平台）运营的公开技能包注册表，相当于智能体扩展的应用商店。

攻击者很有耐心：先克隆正规技能包，起一个与原版极像的名字（业内称”仿冒抢注”），上架后什么坏事都不干，老实攒安装量；等下载数足够可信，再塞恶意代码。

被木马化后，这些技能包会指挥 AI 智能体翻找并外传敏感数据。恢复出的 Python 和 Node 版本里有一百多条被盯上的路径，覆盖 SSH 密钥、AWS/GCP/Azure 云凭据、Kubernetes 和 Docker 配置、Git 与包管理器令牌、数据库凭据、.env 环境变量、CI/CD 配置等，连同主机信息发往攻击者服务器。

到 8 月 2 日，仅这一个技能包家族的累计安装量就超过 170 万次（累计安装数，非独立用户数）；另有一个潜伏数月未被发现，拿到 25 万以上安装量，一度冲进某注册表前 150 名。

Zenity Labs 还找出几十个带恶意或危险行为的技能包，超三成把 Claude Code、OpenClaw 等当成投毒载体，诱导它们从攻击者控制的地址下载文件并在本机执行；有篡改自身提示词、删了也能重装的，也有偷偷卸载 Claude 自带创建工具顶替上位的，全程不通知用户。

下架不等于安全，这四步自己查

Vercel 和微软/GitHub 在收到通报后 12 小时内下架了相关技能包、商店条目和代码仓库。但 Zenity Labs 强调，下架只是止血，不等于清创——已装到本机的得自己清，被复制出去的指令也可能还留在下游仓库和聚合站点。排查建议如下：

查安装记录。确认智能体或开发机是否用过 getpaperclipai/paperclip、browser-use-headless/browser-use-headless-skill 这两个技能包，或装过 browser-use-headless==0.1.4、paperclip-ai==0.1.0／0.1.1 这几个版本。
翻出站流量日志，看是否有指向 api.getpaperclipp.com/health、api-v1.getpaperclipp.com/health 的请求，尤其是发往 api.getpaperclipp.com/feedback 的 POST 请求，与本机痕迹对照。
判断严重程度。只要确认恶意加载器或窃密程序真的执行过，就应当把该智能体及其主机视为已失陷；只是装过、无法确定是否执行，也按”存在暴露风险”处理。
轮换凭据。凡无法排除被执行、该机器能接触到的密钥和令牌，全部重置一遍。