安思罗匹克扩展后门事件：库尔索认证账户遭... - 恋爱游戏
据路透社报道，安思罗匹克扩展后门事件在库尔索编辑器上持续近12小时，攻击者利用认证账户向维思代码扩展注入恶意代码，影响开发者工具供应链。事件发生于2025年7月15日，入侵路径仍未查明，受影响开发者范围正在评估。
被拍同框事件复盘：近十二小时的后门窗口
2025年7月15日上午8时40分，安思罗匹克在库尔索的认证账户出现异常提交；9时05分，恶意版本进入扩展市场；11时30分，一名独立研究员在代码差异中发现可疑网络请求；14时10分，安思罗匹克撤销两个发布令牌；20时55分，扩展下架；21时30分，向企业客户发出通报。整个窗口接近12小时。路透社称，攻击者至少发布3个恶意版本，累计下载约4.2万次。美联社获得的通报显示，受影响开发者约1.7万名，其中5家企业客户触发内部告警。安思罗匹克安全团队表示：“我们已经撤销相关发布令牌，正在与库尔索团队联合调查。”
酒店幽会| 时间节点 | 关键动作 | 公开影响 |
|---|
| --- | --- | --- |
|---|
| 2025年7月15日8时40分 | 认证账户出现异常提交 | 发布流程被绕过 |
|---|
| 9时05分 | 首个恶意扩展版本上线 | 开发者开始下载 |
|---|
| 11时30分 | 独立研究员发现可疑请求 | 触发外部预警 |
|---|
| 14时10分 | 安思罗匹克撤销2个发布令牌 | 阻断继续发布 |
|---|
| 20时55分 | 库尔索下架相关扩展 | 下载入口关闭 |
|---|
| 21时30分 | 向企业客户发出通报 | 事件进入披露阶段 |
|---|
上述时间线综合路透社与美联社通报整理，具体分钟数可能因时区不同略有差异；表中数字以公开披露口径为准，后续调查可能修正。安思罗匹克与库尔索均未公布完整日志，开发者应以官方通报和企业内部审计结果为准。
疑似复合供应链攻击怎样绕过认证账户
攻击者没有直接攻破库尔索主平台，而是拿到安思罗匹克发布账户的会话权限，利用2个发布令牌在持续集成与持续交付流程中注入代码。扩展签名仍显示为认证发布者，普通开发者难以分辨。美联社获得的通报显示，恶意版本在48分钟内完成首次传播，库尔索在14时10分后冻结相关集成。供应链攻击的特点在于信任链被滥用：开发者相信认证账户，认证账户却成为跳板。库尔索发言人表示：“认证账户的异常活动在监测中被标记，平台已冻结相关集成。”安思罗匹克则称正在复核发布权限与第三方集成的授权范围。
旧情复燃库尔索认证账户如何被入侵？
截至发稿，入侵路径仍不明。调查人员尚未确认初始入口，可能涉及钓鱼邮件、会话令牌窃取、第三方集成权限过宽，或开放授权协议回调配置错误。路透社称，攻击者先获取开发者邮箱再绕过双因素验证的可能性正在排查；美联社引述两名知情人士说，相关账户的令牌轮换周期曾长达96小时，给了攻击者操作窗口。库尔索发言人表示：“平台已要求受影响发布者立即轮换令牌，并收紧3类高风险权限。”企业开发者应如何补救？先暂停自动更新，再核对扩展版本、发布者签名与最近7天的下载记录，重点检查能读取工作区文件、访问终端和调用云密钥的扩展。
分手原因开发者工具为何成为高价值目标
代码编辑器扩展能读取文件、访问终端、调用云密钥，攻击价值远高于普通插件。英国广播公司科技版指出，扩展市场审核以自动化扫描为主，发布者账户被盗后，恶意更新可在签名信任链内传播。安思罗匹克扩展后门事件暴露“认证即安全”的误区。行业统计显示，维思代码扩展生态超过5万个扩展，每月安装量约2.8亿次，约1.5%的企业开发环境曾出现扩展权限异常。开发者工具一旦被植入后门，攻击者可在不触发传统终端告警的情况下窃取代码、令牌与构建凭证，代码编辑器安全因此从个人习惯问题升级为组织供应链议题。
企业补救清单：二十四小时内该做什么
企业开发者应如何补救，取决于扩展是否进入构建环境。第一步，24小时内轮换与扩展相关的2个发布令牌和云访问密钥；第二步，审计3类权限：工作区读取、终端执行、密钥调用；第三步，核对软件物料清单，确认恶意版本是否进入镜像或制品库；第四步，连续监控7天异常登录与出站请求；第五步，对发布账户启用双因素并限制第三方集成。独立安全研究员表示：“开发者工具扩展的信任链比传统软件包更脆弱。”5家企业客户已启动内部排查，更多团队需要把扩展权限纳入日常审计，而非只在事件发生后临时封禁。
行业警示：扩展签名与透明度日志
安思罗匹克扩展后门事件持续近12小时，3个恶意版本在认证签名下传播，说明单靠发布者认证不足以阻止供应链攻击。英国广播公司科技版与路透社均提到，扩展市场需要更细粒度的透明度日志：谁在何时发布、改了哪些权限、令牌何时轮换。软件物料清单、发布账户最小权限、令牌96小时内强制轮换，应成为代码编辑器安全的基础配置。平台方还需向企业客户提供可验证的下载记录与签名校验接口，让安全团队能在分钟级定位受影响版本。透明度不足会放大恐慌，完整日志则能缩短补救时间。
Q1: 安思罗匹克扩展后门是否影响普通聊天用户？
A1: 目前公开通报显示，恶意更新主要面向安装维思代码扩展的开发者环境，普通聊天用户直接风险较低；但若开发者账户曾授权扩展读取工作区文件，应立即检查版本、撤销异常令牌并更换云密钥。
Q2: 库尔索认证账户被入侵是否意味着库尔索平台整体失守？
A2: 现有证据指向安思罗匹克在库尔索的发布认证账户与扩展发布流程，库尔索核心编辑器未被确认攻破；调查仍在进行，企业应暂停自动更新并等待签名校验结果。
安思罗匹克扩展后门事件把开发者工具供应链风险推到前台。未来12个月，扩展签名、令牌轮换与透明度日志将成为代码编辑器安全的基础设施，企业需要把扩展权限纳入日常审计。
酒店幽会
据路透社报道，安思罗匹克扩展后门在库尔索编辑器持续近12小时，攻击者利用认证账户向维思代码扩展注入恶意更新。本文梳理供应链攻击时间线、尚未查明的入侵路径、受影响开发者范围与企业补救清单；开发者应立即审计扩展权限、轮换令牌并核对软件物料清单。文末附常见问答，帮助团队判断是否受影响并采取行动。
