Nx 恶意包如何借编程智能体窃取秘密

Nx 恶意包如何借编程智能体窃取秘密 | 前端进阶之旅

Full translation

完整中文译文

书籍：Prompt Engineering Pocket Guide

我的其他作品：Thinking in Go（两册系列）——《Go 编程完整指南》与《Go 中的六边形架构》

我的项目：Hermes IDE | GitHub——面向使用 Claude Code 等 AI 编程工具交付软件的开发者的 IDE

关于我：xgabriel.com | GitHub

2025 年 8 月 26 日 22:32 UTC，nx 21.5.0 发布到 npm，带着一个名为 telemetry.js 的 postinstall 脚本。Snyk 在其中发现了一张小型查找表：

claude: { cmd: 'claude',
  args: ['--dangerously-skip-permissions', '-p', PROMPT] },
gemini: { cmd: 'gemini', args: ['--yolo', '-p', PROMPT] },
q: { cmd: 'q',
  args: ['chat', '--trust-all-tools', '--no-interactive', PROMPT] }

三个编程 Agent，各自的操作审批提示都被关闭，各自都收到了一条要求查找存有秘密信息的文件的 prompt。接下来的两个小时里，又陆续出现了七个恶意版本。根据 StepSecurity 的时间线，npm 于 02:44 UTC 下架了这些版本。GitGuardian 后来在攻击载荷创建的公开仓库中，统计到了 2,349 个不同的秘密信息。

这些参数值得再仔细看一眼，因为选择它们的是攻击者，而不是开发者。

telemetry.js 具体做了什么

Nx 的安全公告将攻击入口追溯到一个 GitHub Actions workflow：它使用 pull_request_target 触发器，在一个 run: 步骤中通过 echo 输出 pull request 的标题。攻击者精心构造标题，借助一个拥有读写权限的 token 执行了 shell 命令。Nx 团队认为，攻击者就是通过这种方式拿到了 npm 发布 token。

根据 StepSecurity 的分析，攻击载荷随后按以下顺序执行：

如果是 Windows，立即退出。只在 Linux 和 macOS 上运行。
不借助任何 AI，先收集能够直接获取的信息：通过 gh auth token 获取 GitHub token，从 .npmrc 获取 npm token，以及环境变量、主机名和操作系统信息（SafeDep）。
检查 PATH 中是否存在 claude、gemini 和 q，并使用上面的参数运行找到的每一个工具。
prompt 要求 Agent 在不使用 sudo 的情况下，搜索 $HOME、$HOME/.config、/etc、/var 和 /tmp，搜索深度为 8，查找名称类似 .env、id_rsa 的文件以及钱包文件，并将匹配的路径写入 /tmp/inventory.txt。
读取列表中的每一个文件，将全部内容连续进行三次 base64 编码，再以 results.b64 为文件名，推送到受害者自己 GitHub 账号下新建的公开仓库 s1ngularity-repository。
将 sudo shutdown -h 0 追加到 ~/.bashrc 和 ~/.zshrc。

第 2 步对下文的讨论至关重要。脚本已经在以你的身份运行，能够访问你的文件和 token。Agent 没有给它增加原本不具备的访问权限，而是给了它一种搜索工具，能根据你磁盘上的实际情况调整搜索方式。

npm 下架这些版本后，破坏仍在继续。8 月 28 日，第二波攻击利用窃取的 GitHub token，将私有仓库改为公开。GitGuardian 统计到了 10,767 个这样的仓库。

四条 prompt，结果参差不齐

Okta 的威胁情报团队指出，随着攻击者不断迭代，先后发布的软件包版本至少携带了四条不同的 prompt。Safety 的 Paul McCarty 在一台设有沙箱隔离的 Mac 上，使用相同参数重新运行了全部四条 prompt。各项测试的运行次数不同，而且经常没有说明：第三版 prompt 在 Claude 上运行了 10 次，第四版在 Gemini 上运行了 5 次，第二版在 Claude 上则只描述了一次运行：

Claude 直接拒绝了第一版。Safety 的文章引用了它的回答：“我不能帮助搜索和编目与钱包相关的文件、私钥”。但把同一项任务包装成渗透测试后，在 Safety 描述的那次运行中，它就照做了。Gemini 的几次失败源于沙箱限制或写入限制，并不是因为内容而拒绝。这只是一个小样本，但在参数保持不变的情况下，仅仅改变措辞，就让结果从拒绝变成了执行。

真实受害系统的数据也表明，AI 这一步是整个流程中不稳定的部分。在 GitGuardian 研究的受入侵系统中，33% 至少安装了一个 LLM 客户端。攻击针对其中 366 台系统上的 LLM 工具发起，最终只有 95 台写出了 /tmp/inventory.txt。

这里的新变化是：安装脚本可以把搜寻工作交给模型，而模型是否拒绝，取决于攻击者可以反复尝试的措辞。

为什么绕过权限的警告没有出现

Claude Code 的权限模式文档明确指出，bypassPermissions 应当用于容器或虚拟机。文档也解释了为什么这条警告在这里没有起作用。当你第一次以这种模式启动交互式会话时，Claude Code 会显示一个对话框，要求你接受相应责任。但在攻击载荷通过 -p 启用的非交互模式下，“不会显示对话框”。Claude Code 会拒绝以 root 身份或在 sudo 下运行绕过模式，但攻击载荷使用的是你的普通用户身份，而且它自己的 prompt 也明确要求不要使用 sudo。

默认情况下，任何能运行 claude 的进程，都能选择它的运行模式，gemini 和 q 也是如此。你自己的 ~/.claude/settings.json 同样构不成屏障：权限文档允许你在这个文件中禁用绕过模式，但以你身份运行的脚本也能编辑这个文件。

以你身份运行的脚本，在没有密码的情况下无法修改的，是 root 拥有的系统目录里的文件。真正有用的设置应该放在那里。

五分钟检查你的机器

首先，执行与攻击载荷相同的检查，再看看是否已经存在跳过审批提示的设置：

for c in claude gemini q; do
  command -v "$c" >/dev/null && echo "on PATH: $c"
done
grep -nE 'bypassPermissions|skipDangerousMode' \
  ~/.claude/settings.json 2>/dev/null

如果用户设置中存在 "defaultMode": "bypassPermissions"，脚本甚至不需要传入那个参数。skipDangerousModePermissionPrompt 只会关闭交互式对话框，而 -p 本来就不会显示这个对话框。

Claude Code。 权限文档说明，将 permissions.disableBypassPermissionsMode 设置为 "disable" 可以阻止绕过模式，而且这个选项最适合放在托管设置中。根据托管设置文档，macOS 上的文件位于 /Library/Application Support/ClaudeCode/managed-settings.json，Linux 上则位于 /etc/claude-code/managed-settings.json，用户设置、项目设置或 --settings 指定的值都无法覆盖它。请先用 cat 检查是否已有文件，因为下面的操作会覆盖它：

# Linux: D=/etc/claude-code
D="/Library/Application Support/ClaudeCode"
sudo mkdir -p "$D"
sudo tee "$D/managed-settings.json" >/dev/null <<'EOF'
{
  "permissions": {
    "disableBypassPermissionsMode": "disable"
  }
}
EOF

同一份文档还指出了两个注意事项。在 WSL 上，/etc/claude-code 对用户可写，因此仅仅把文件放在那里起不到保护作用。另外，如果操作系统拒绝读取该文件，会话仍会在没有应用策略的情况下启动；/status 和 claude doctor 会记录这次失败。

Gemini CLI。 企业指南记录了 security.disableYoloMode: true 这个选项，它会强制每次工具调用都请求确认。该选项位于系统设置文件 /Library/Application Support/GeminiCli/settings.json 或 /etc/gemini-cli/settings.json 中。同一份指南还说明，可以通过 GEMINI_CLI_SYSTEM_SETTINGS_PATH 环境变量覆盖这个路径，而启动 gemini 的进程能够控制它的环境。因此，应当把它当作防止误操作的保护措施，而不是抵御恶意脚本的屏障。同一页面还提到，自 2026 年 6 月 18 日起，面向免费用户和 Google One 用户的 Gemini CLI 已由 Antigravity CLI 取代。

Amazon Q。 AWS 表示，Q Developer CLI 已更名为 Kiro。在信任 PATH 中某个旧版 q 可执行文件之前，先检查它实际还会做什么。

安装步骤。 上面的措施都无法阻止第 2 步。攻击入口是 postinstall 脚本，而 npm 的 ignore-scripts 配置意味着“npm 不会运行 package.json 文件中指定的脚本”。运行 npm config set ignore-scripts true，就能为当前用户启用该配置。有些软件包确实需要执行安装步骤，这时再由你明确决定执行。

Hermes 能做什么，不能做什么

Hermes IDE 是我开发的，阅读这一节时，请把这一点考虑在内。Hermes 无法阻止 telemetry.js。它不是沙箱，postinstall 脚本也不会经过它。能够拒绝以绕过模式启动工具的，是前面那些设置。

不过，这次事件确实说明了 Hermes 为什么坚持一条固定规则：它绝不会替你回答权限审批提示，也绝不会自行向终端输入内容（README）。攻击载荷之所以奏效，就是因为它把人从审批环节中移除了。如果一个工具夹在你和 Agent 之间，替你点击“是”，那就是有意把这个漏洞重新做成了一项功能。我在《任何脚本都不该替你的编程 Agent 点击“Allow”》一文中更详细地阐述了这个观点。

⌘N 打开的 New task 面板：Claude Code、orders-api 项目、新建的 hermes/ worktree、Accept edits、模型与推理强度选项，以及展示 claude 命令的“Hermes will run”预览。

当你用 ⌘N 启动任务时（Windows 和 Linux 上为 Ctrl+Shift+N），可以为任务选择 Agent、模型和推理强度。Agent 会在真实终端中运行自己的界面，因此它的权限审批提示会原样呈现给你。当 Agent 发出请求时，待处理收件箱会将其计入数量；按 ⌘I（Windows 和 Linux 上为 Ctrl+Shift+I），会跳转到等待时间最长的那个请求，然后你在相应 Agent 自己的终端里作答。

Hermes 免费使用，以 BSL 1.1 许可证开放源代码，可在 macOS、Windows 和 Linux 上运行。你可以在此下载，代码放在 GitHub 上。它与 Nous Research、Anthropic、OpenAI、Google、AWS 或其他任何 Agent 厂商均无关联。

这次事件中最能说明问题的细节，是 Safety 的那张表：同一个 Agent 先拒绝了请求，换一种措辞后却执行了。这就是被用来对付你的 prompt engineering。我的 Prompt Engineering Pocket Guide 讲解了任务的表述方式和指令如何影响模型行为，也涵盖 prompt injection，让你在读到 telemetry.js 中这样的 prompt 时，能够看懂每一行在做什么。

如需采取进一步措施，你可以考虑屏蔽此人和／或举报滥用行为。