问题是这份顺手正在被人利用。Zenity Labs 在 Black Hat USA 2026 披露，公开技能包注册表已成新供应链投毒战场，规模不小。

攻击手法：先当好人，攒够信任再动手

这轮攻击发生在 skills.sh——Vercel（面向 Web 应用的云平台）运营的公开技能包注册表，相当于智能体扩展的应用商店。

攻击者很有耐心：先克隆正规技能包，起一个与原版极像的名字（业内称”仿冒抢注”），上架后什么坏事都不干，老实攒安装量；等下载数足够可信，再塞恶意代码。

被木马化后，这些技能包会指挥 AI 智能体翻找并外传敏感数据。恢复出的 Python 和 Node 版本里有一百多条被盯上的路径，覆盖 SSH 密钥、AWS/GCP/Azure 云凭据、Kubernetes 和 Docker 配置、Git 与包管理器令牌、数据库凭据、.env 环境变量、CI/CD 配置等，连同主机信息发往攻击者服务器。

到 8 月 2 日，仅这一个技能包家族的累计安装量就超过 170 万次（累计安装数，非独立用户数）；另有一个潜伏数月未被发现，拿到 25 万以上安装量，一度冲进某注册表前 150 名。

Zenity Labs 还找出几十个带恶意或危险行为的技能包，超三成把 Claude Code、OpenClaw 等当成投毒载体，诱导它们从攻击者控制的地址下载文件并在本机执行；有篡改自身提示词、删了也能重装的，也有偷偷卸载 Claude 自带创建工具顶替上位的，全程不通知用户。

下架不等于安全，这四步自己查

Vercel 和微软/GitHub 在收到通报后 12 小时内下架了相关技能包、商店条目和代码仓库。但 Zenity Labs 强调，下架只是止血，不等于清创——已装到本机的得自己清，被复制出去的指令也可能还留在下游仓库和聚合站点。排查建议如下：

1. 查安装记录。确认智能体或开发机是否用过 getpaperclipai/paperclip、browser-use-headless/browser-use-headless-skill 这两个技能包，或装过 browser-use-headless==0.1.4、paperclip-ai==0.1.0／0.1.1 这几个版本。
2. 翻出站流量日志，看是否有指向 api.getpaperclipp.com/health、api-v1.getpaperclipp.com/health 的请求，尤其是发往 api.getpaperclipp.com/feedback 的 POST 请求，与本机痕迹对照。
3. 判断严重程度。只要确认恶意加载器或窃密程序真的执行过，就应当把该智能体及其主机视为已失陷；只是装过、无法确定是否执行，也按”存在暴露风险”处理。
4. 轮换凭据。凡无法排除被执行、该机器能接触到的密钥和令牌，全部重置一遍。

为什么”看一眼代码”防不住

Zenity Labs 联合创始人兼 CTO Michael Bargury 点出最麻烦的地方：最危险的恰恰是那些人畜无害的技能包——专为绕过大模型静态审查而设计，恶意行为只在真正运行时才浮现。干净代码也能在运行时去网上拉取攻击者指令、安装恶意包。

这意味着对 AI 智能体，供应链早已超出传统代码依赖，技能包、工具、MCP 服务器、各类包与文件都可能影响其行为。装前多确认来源，比事后轮换全部密钥省事得多。

来源：TechRadar