开源供应链攻击进入常态化，CI/CD成新战场

执行摘要：近期多起事件显示，开源供应链攻击正从包管理仓库向CI/CD流水线延伸。GitHub Actions工作流注入事件中2577个密钥暴露仅26个实际失窃，凸显攻击面与现实危害的落差；MALFEX活动通过八个恶意npm包长期潜伏，最高下载量超3.7万次。开源生态上游污染、中游分发、下游消费环节均面临威胁，产业亟需构建覆盖全链条的防护与治理体系。

现状与整体格局

一、攻击态势：从偶发事件走向常态化

近年来，开源供应链攻击已从零星的安全事件演变为持续性、规模化的产业威胁。攻击者不再满足于“打一枪换一个地方”的短期牟利模式，而是转向长期潜伏、持续收割的运营方式。以披露的MALFEX攻击活动为例，攻击者自2023年8月起，持续通过八个恶意npm包分发Windows恶意软件，载荷包括Overlord RAT、movinlike信息窃取器及隐藏在ASCII-art工具中的下载器，可窃取浏览器密码、Discord令牌和加密货币钱包。该活动持续时间长、迭代稳定，呈现出明显的“长期运营”特征。

从受害规模看，MALFEX活动中下载量最大的function-flag包累计被下载37,419次，且长期携带恶意代码。这反映出两个关键事实：其一，恶意包能够长期绕过npm等包管理平台的审查机制；其二，开发者对开源依赖的信任惯性，使得恶意代码具备天然的分发优势。

二、攻击目标迁移：从包管理生态到CI/CD平台

随着npm、PyPI等包管理生态的防御能力逐步提升（如双因素认证、签名验证等机制的推广），攻击者的目标正在向更上游、权限更集中的环节迁移——CI/CD平台成为新的主战场。

GitHub Actions事件典型地体现了这一趋势。攻击者将恶意工作流伪装成安全检查注入GitHub Actions，试图窃取SSH私钥、云凭证和访问令牌。研究统计显示，恶意工作流共针对2,577个密钥，但注入不等于执行，最终确认仅从13个仓库成功外泄26个密钥。

这一迁移背后的产业逻辑值得分析：CI/CD流水线集中持有大量高价值凭证（云凭证、部署密钥、访问令牌），且具备自动执行代码的天然属性，一旦被攻破，攻击面可横向扩展至整个基础设施。相较于单个恶意包只能影响直接下载者，CI/CD层面的攻击具备“以点带面”的杠杆效应。

三、暴露面与实际失窃的落差

GitHub Actions事件揭示了一个常被忽视的问题：理论暴露面与实际失窃之间存在巨大落差。2,577个被针对的密钥中，最终确认外泄的仅26个，占比约1%。这一数据具有双重含义：

• 积极的一面：攻击链条中的多个环节（注入、触发、执行、外传）任一环节失败都会中断攻击，实际失窃率远低于表面暴露规模；
• 警惕的一面：26个密钥一旦失窃，可能撬动远超其自身价值的基础设施资源，且许多凭证失窃在短期内难以被发现，存在滞后的二次风险。

对产业而言，这意味着防御不能仅以“是否被注入”衡量风险，而需以“凭证是否真正可被利用”为核心评估维度。

四、攻击手法的共性特征

综合两类代表性事件，当前开源供应链攻击呈现三大共性：

1. 伪装性强：MALFEX将下载器藏在ASCII-art工具中，GitHub Actions事件将恶意工作流伪装成“安全检查”，均利用了开发者对工具用途的默认信任；

2. 持续时间长：恶意npm包可长期存在于仓库中持续被下载，攻击活动的运营周期以月甚至年计；

3. 载荷组合化：单一攻击活动中常组合RAT、信息窃取器、下载器等多种载荷，覆盖浏览器密码、聊天工具令牌、加密钱包、SSH密钥、云凭证等多类资产，体现出明显的产业化分工特征。

五、攻击链条示意

六、整体格局研判

当前开源供应链攻击的整体格局可概括为：常态化、上游化、隐蔽化。常态化意味着此类攻击已成为产业运行的持续性风险，而非偶发危机；上游化意味着攻击重心正从应用依赖层向构建与部署基础设施层迁移，CI/CD平台成为新的攻防焦点；隐蔽化则意味着攻击者深度融入正常开发工作流，传统基于已知特征的检测手段面临失效压力。

与此同时，暴露面与实际失窃之间的巨大落差也提示：单纯的暴露面收敛虽有必要，但不足以应对威胁。产业界需要在凭证生命周期管理、流水线最小权限、恶意包快速下架响应等环节形成协同机制，方能应对这一常态化挑战。

上游：包仓库投毒

从“事件”到“常态化”的上游威胁

开源包仓库（npm、PyPI、RubyGems 等）早已成为软件供应链的公共基础设施，其开放性与低门槛在带来生态繁荣的同时，也构成了天然攻击面。产业界普遍观察到，针对包仓库的“投毒”攻击（repository poisoning）已从零星的独立事件，演变为有组织、长周期、可持续运营的攻击活动。所谓“常态化”，核心特征有三：攻击活动持续数月甚至数年而非一次性；攻击者以常用功能包为伪装长期潜伏；攻击目的从破坏转向凭证与资产的变现。

MALFEX 活动是这一趋势的典型样本。

MALFEX：长期潜伏的功能包投毒

根据安全研究人员的披露，自 2023 年 8 月起，攻击者持续通过八个恶意 npm 包分发针对 Windows 平台的恶意软件，该活动被命名为 MALFEX。其载荷构成体现了成熟的信息窃取分工：

• Overlord RAT：远程访问木马，维持对受害主机的持久控制；
• movinlike 信息窃取器：负责凭证收割；
• 藏在 ASCII-art 工具中的下载器：将恶意逻辑伪装进“逗号式”娱乐功能包，规避审查。

窃取目标明确指向三类高价值资产：浏览器保存的密码、Discord 令牌与加密货币钱包。这三者分别对应身份认证、社交/开发者社区信任链与直接可变现资产，显示出攻击者清晰的变现路径设计。

在传播层面，下载量最大的 function-flag 包累计被下载 37,419 次，且长期携带恶意代码未被下架。这组数据具有双重含义：一方面说明攻击者以开发者日常高频使用的功能语义命名与包装，成功借助真实的搜索与依赖行为完成分发；另一方面说明现有仓库侧的恶意包检测存在明显滞后——包在携带恶意代码的状态下存续时间越长，其触及的开发环境与下游构建链就越广。

上游投毒为何成为主要入口

从产业逻辑看，上游投毒的“性价比”远高于对单个企业的定向攻击：

1. 杠杆效应：一个被广泛依赖的包，其下载量即攻击的天然分发网络，攻击者无需逐个突破企业边界。

2. 信任惯性：开发者对包管理器的默认信任（lockfile 拉取、自动更新）使得恶意代码进入构建环境后无需额外社工成本。

3. 资产密度高：开发者工作站与 CI 环境中集中存放着云凭证、SSH 密钥、令牌等“一次窃取、多处可用”的资产，这正是 MALFEX 等信息窃取器所瞄准的对象。

从上游到 CI/CD：威胁链的延伸

上游投毒并非孤立环节。恶意包一旦被拉入开发者环境或流水线，其下一跳往往就是 CI/CD 系统中的凭证。已有研究统计显示，攻击者将恶意工作流伪装成安全检查注入 GitHub Actions，试图窃取 SSH 私钥、云凭证与访问令牌，共针对 2,577 个密钥；但注入不等于执行，最终确认仅从 13 个仓库成功外泄 26 个密钥。这一“2577 对 26”的落差，一方面揭示了 CI/CD 工作流注入攻击的现实威胁真实存在，另一方面也说明实际失窃规模受执行条件与防护过滤的多重约束，企业在评估风险时既不应低估，也无需高估单一事件的直接损失。

小结

MALFEX 与 GitHub Actions 注入事件共同勾勒出上游威胁的完整图景：包仓库投毒是入口，CI/CD 是放大器，凭证与钱包是终点。对产业而言，应对重点正在从“事后下架”转向“事前防御”——包括包发布环节的强认证（如双因素与可复现构建）、企业侧的依赖来源白名单与行为检测、以及开发者凭证与构建环境的隔离。当投毒成为常态化攻击手段，供应链安全的责任也将从仓库运营方单方承担，转向仓库、企业与应用构建链的多方共治。

中游：CI/CD流水线风险

从“开源入口”到“运行时枢纽”：CI/CD成为供应链攻击的新焦点

在开源供应链的攻击链条中，上游的恶意包投毒（如npm生态中的MALFEX活动）吸引了大量关注，但产业层面的风险重心正在向中游迁移——即代码的构建、测试与发布环节。这一环节承载着企业的CI/CD流水线，集中存储着大量高权限凭证，一旦被攻破，其影响范围远超单个恶意包。

2024年披露的GitHub Actions工作流注入攻击事件，是这一趋势的标志性案例。攻击者将恶意工作流伪装成常规安全检查任务注入GitHub Actions，其真实目标是窃取SSH私钥、云凭证和访问令牌。这类攻击利用了CI/CD平台“代码即配置”的特性：工作流文件本身来源于仓库，若攻击者能通过pull request等途径影响工作流定义或触发参数，就相当于在流水线内部署了窃密逻辑。

暴露面与实际失窃之间的巨大落差

对该事件的统计分析揭示了一个值得产业界深思的现象：恶意工作流共针对2577个密钥，但由于“注入不等于执行”——工作流需要被实际触发、运行环境需具备相应权限、密钥需在工作流上下文中可见——最终确认仅从13个仓库成功外泄26个密钥。

这组数据的启示是双向的：

• 一方面，攻击的现实威胁真实存在，且攻击者对CI/CD环节的渗透尝试已具规模化特征，2577个密钥的锁定范围说明攻击者在广撒网；
• 另一方面，暴露面不等于失窃面。CI/CD环境中凭证的可触达性受权限模型、运行条件等多重因素约束，实际失窃率约1%，这一落差恰恰指向了治理的抓手所在——降低凭证在工作流执行上下文中的暴露程度，即可显著压缩攻击的可行空间。

凭证集中：CI/CD环节的结构性风险

CI/CD之所以成为攻击新焦点，根源在于其结构性特征：

1. 凭证高度集中。流水线需要访问代码仓库、云基础设施、制品库、发布通道等多个系统，SSH私钥、云API密钥、访问令牌在此汇聚，构成了“一钥多门”的攻击面。

2. 权限天然较高。构建与发布环节需要跨系统的写权限，远高于普通开发人员的日常权限，凭证一旦泄露，横向移动的成本极低。

3. 自动化放大效应。流水线自动执行、无人值守的特性，意味着恶意工作流一旦注入，可在无人工审查的情况下完成凭证读取与外传。

4. 配置来源复杂。工作流定义、触发条件、依赖的第三方Action共同构成攻击面，任一环节被污染均可导致流水线失守。

工作流注入攻击的典型路径

从攻击路径看，工作流注入并非高技术门槛攻击，其难度主要在于“注入后的执行概率”——这解释了为什么2577个目标密钥最终只兑现26个。但也正因如此，防御的核心不在于对抗某一次攻击，而在于系统性地切断“注入—执行—外泄”链条。

产业应对方向

基于事件特征与产业逻辑，CI/CD环节的治理方向可归纳为四点：

• 最小权限的凭证暴露：限制工作流上下文中可用的密钥范围，按任务粒度发放临时凭证，避免长生命周期令牌在流水线中驻留；
• 工作流完整性管控：对工作流文件的变更设置独立审查，限定pull request触发时的工作流执行权限（如GitHub的pull_request_target风险场景治理）；
• 第三方Action的准入治理：对依赖的外部Action进行版本锁定与来源审计，将其纳入与上游依赖同等级别的供应链管理范畴；
• 外泄行为监测：在流水线运行时对异常网络外联、凭证读取行为进行检测，压缩“注入即成功”的时间窗口。

小结

GitHub Actions事件中2577与26的对比，既是警示也是信心：CI/CD流水线的攻击面已被规模化触达，但暴露面可以通过权限与配置治理大幅收敛。随着开源组件在中游构建环节的自动化集成程度不断提高，CI/CD作为“凭证枢纽”的地位只会加强。对于依赖开源生态的企业而言，将流水线安全从“发布环节的附属检查”提升为供应链安全体系的独立防线，已不再是可选项。

下游：消费端失窃路径

一、从“暴露”到“失窃”：被忽视的落差

在开源供应链攻击的讨论中，一个常见的认知偏差是把“凭证暴露”等同于“凭证失窃”。参考素材中的GitHub Actions事件提供了难得的量化样本：攻击者将恶意工作流伪装成安全检查注入流水线，试图窃取SSH私钥、云凭证和访问令牌，恶意工作流共指向2577个密钥目标，但“注入不等于执行”，最终确认仅从13个仓库成功外泄26个密钥。2577与26之间的巨大落差，构成了本章的核心命题——攻击面与实际失窃之间，隔着一整条由目标环境配置、凭证权限、执行条件构成的选择链。

这并非低估威胁。恰恰相反，理解这条落差链才是防御的关键：攻击者无法在一次投毒中“通吃”，他们实际窃取的，是那些同时满足“凭证可用、权限过高、无人监控”三重条件的少数目标。对下游而言，这意味着防御重心不在于追求“零暴露”（在CI/CD生态中几乎不可能），而在于压缩从暴露到失窃的转化率。

二、失窃路径的典型形态

从素材披露的事件看，下游消费端的失窃路径呈现两类典型形态。

第一类：管道层注入。 GitHub Actions事件中，攻击者瞄准的是CI/CD平台与开发环境之间的信任缝隙——工作流可以读取流水线中的SSH私钥、云凭证和访问令牌，而恶意工作流伪装成“安全检查”，恰好利用了开发者对安全类工具的天然信任。CI/CD系统天然持有大量高权限凭证，使其成为整条供应链中“性价比”最高的攻击节点。

第二类：包层投毒。 MALFEX活动则代表面向终端开发者的路径：攻击者自2023年8月起持续通过八个恶意npm包分发Windows恶意软件，载荷包括Overlord RAT、movinlike信息窃取器，甚至将下载器藏在ASCII-art工具中，可窃取浏览器密码、Discord令牌和加密货币钱包。其中下载量最大的function-flag包累计被下载37,419次且长期携带恶意代码——这意味着大量下游开发者的个人凭据与工作环境同时暴露在风险中，而个人设备一旦失窃，往往成为向企业内网渗透的跳板。

三、落差背后的产业逻辑

2577对26的落差并非偶然，它反映了当前生态的三层现实：

其一，凭证生命周期管理普遍滞后于CI/CD的普及速度。云凭证、访问令牌被批量嵌入流水线配置，但配套的轮换机制、作用域限制未能同步跟上，形成“密钥很多、可用密钥不多、高可用且无人管的密钥更少”的金字塔结构。

其二，开源依赖的信任默认值过高。开发者对npm包、CI工作流的审查意愿与能力有限，37,419次下载的恶意包能长期存活，说明现有包管理平台的发现机制存在时间差——恶意活动的“隐蔽性强、持续”正是对这一时间差的套利。

其三，最小权限原则在开发侧落地不足。生产环境中逐步推广的权限收敛，在开发与构建环境中明显缺位，使流水线中的凭证往往“一把钥匙开所有的门”。

四、下游的防御优先级

基于上述落差结构，本章认为下游开发者与企业应将有限资源投向转化率压缩的三个环节：

1. 凭证轮换与短时效化：CI/CD凭证默认短生命周期，避免长期静态令牌沉淀在流水线配置中，降低“可读凭证”的存量。

2. 最小权限收敛：为工作流与构建环境分配按需、按域的最小作用域权限，即便被注入也难以读取高价值凭证——这直接作用于落差链的第二道关口。

3. 异常监控与出站管控：对流水线中的异常外联、凭证异常调用建立基线检测，将“执行后被窃取”的窗口期压缩到可响应的量级；同时对第三方工作流与新增依赖实施准入审查。

需要指出的是，监管层面针对软件供应链安全的合规要求（如SBOM披露、构建来源证明）正在推动上述实践的普及，但从“合规动作”到“实际收敛失窃转化率”仍依赖企业内部的工程落地。行业博弈的本质是攻防双方在“暴露面”与“转化率”两端持续角力：攻击者扩大暴露面的成本在下降，而防御者压缩转化率的杠杆——轮换、最小权限、监控——目前仍是成本收益比最优的选择。

五、小结

下游消费端是开源供应链攻击的最终变现环节。GitHub Actions事件的2577对26、MALFEX的37,419次下载与长期潜伏，共同勾勒出一幅“暴露广泛、失窃集中”的图景。对产业而言，悲观叙事无助于安全改善；真正有价值的结论是：失窃并非不可控的宿命，而是可分解、可干预的转化过程。谁先把自己的落差链每一环都加上摩擦，谁就在这场常态化攻防中占据了先手。

数据透视与竞争格局

攻击量化：暴露面与实际失窃之间的巨大落差

从公开披露的数据看，开源供应链攻击的量化特征呈现出明显的“金字塔”结构：顶层是广袤的暴露面，底层是实际发生的失窃，而中间横亘着技术执行与环境配置的多重门槛。

以GitHub Actions工作流注入事件为例，安全厂商的统计显示，恶意工作流共针对2577个密钥，涵盖SSH私钥、云凭证和访问令牌等高价值资产。但“注入”不等于“执行”，经逐一确认，最终仅从13个仓库成功外泄26个密钥。2577与26之间的悬殊比值，一方面说明攻击的实际转化率受限于流水线的权限配置、运行环境与触发条件，另一方面也意味着绝大多数暴露的密钥处于“侥幸未失窃”状态——攻击面的收敛空间依然巨大。

另一组数据来自npm生态。自2023年8月起，名为MALFEX的供应链攻击活动通过八个恶意npm包持续分发Windows恶意软件，载荷包括Overlord RAT、movinlike信息窃取器以及隐藏在ASCII-art工具中的下载器，可窃取浏览器密码、Discord令牌和加密货币钱包。其中下载量最大的function-flag包累计被下载37,419次，且长期携带恶意代码而未被下架，反映出恶意包在名称仿冒、版本迭代与代码混淆等隐蔽手段上的持续升级。

威胁特征的三个判断

第一，攻击目标从代码转向凭证。 上述两类事件的共同点在于：恶意载荷的最终价值不在被入侵的代码仓库本身，而在于顺藤摸瓜窃取的开发者凭证、云访问令牌与终端敏感数据。CI/CD流水线因天然持有大量高权限密钥，正在取代单纯的代码投毒成为攻击者的首选入口。

第二，长潜伏期成为常态。 function-flag包长期携带恶意代码、累计下载量达数万次才被发现，说明现有的人工审计与社区举报机制在响应速度上明显滞后于攻击者的耐心与隐蔽能力。

第三，暴露面治理是最大短板。 2577个被针对的密钥中仅26个实际外泄，这一“漏斗”的另一面是：若企业在密钥扫描、最小权限与令牌轮转上做到基础合规，绝大多数潜在损失本可避免。

竞争格局：围绕仓库与流水线的双线布局

威胁的量化数据正在直接转化为安全产品的市场机会。当前厂商竞争沿两条主线展开：

仓库侧扫描聚焦恶意包识别、依赖混淆检测与命名仿冒预警，核心比拼恶意包情报的覆盖速度与误报率。MALFEX类长潜伏期活动的持续曝光，使得实时情报订阅与包发布监控成为厂商差异化竞争的焦点。

流水线侧防护则围绕CI/CD工作流安全展开，包括工作流权限管控、注入检测、密钥保护与运行时行为审计。GitHub Actions事件揭示了工作流配置即攻击面的新逻辑，推动厂商将产品能力从“扫描代码”延伸到“扫描流水线配置与密钥流向”。

产业逻辑与展望

从产业视角看，监管合规要求正在为市场扩容提供外生动力。各国对软件物料清单（SBOM）、供应链安全审查的立法推进，使CI/CD安全从“最佳实践”逐步转向“合规刚需”，预计将加速企业侧预算释放。

可以预期的竞争演进路径是：情报能力强的厂商将向流水线防护延伸，形成“检测—阻断—溯源”的闭环；平台方（如代码托管商）与第三方安全厂商之间既存在合作也存在边界博弈——平台强化自身原生安全能力的同时，也为独立厂商留下跨平台、多流水线的统一治理空间。在攻击常态化、下载量与失窃量持续被量化的背景下，安全能力从终端和代码库向构建与部署环节的整体迁移，将是未来数年开源供应链安全市场的主线。

趋势判断与治理建议

一、核心趋势：供应链攻击进入常态化阶段

从近年披露的安全事件看，开源供应链攻击已从偶发性、高调的“定向爆破”，演变为持续性、低成本、高隐蔽的常态化攻击模式。以npm生态的MALFEX活动为例，攻击者自2023年8月起持续通过八个恶意npm包分发Windows信息窃取型恶意软件，载荷包括远程访问工具、信息窃取器及隐藏在ASCII-art工具中的下载器，可窃取浏览器密码、Discord令牌和加密货币钱包。其中下载量最大的function-flag包累计被下载超过37,000次，且恶意代码长期驻留未被发现。

这一案例揭示了常态化攻击的三个典型特征：投放周期长（持续数月而非一次性事件）、载荷模块化（下载器与窃密组件解耦，便于迭代）、收益分散化（不追求单点高价值目标，而是广撒网收割终端凭证）。

与此同时，CI/CD平台正成为新的攻击焦点。GitHub Actions工作流注入事件显示，攻击者将恶意工作流伪装成安全检查注入流水线，试图窃取SSH私钥、云凭证和访问令牌。该事件统计共针对2,577个密钥，但由于“注入不等于执行”，最终确认仅从13个仓库成功外泄26个密钥。这一巨大的暴露面与实际失窃之间的落差，一方面说明攻击的成功率受多重环节制约，另一方面也提示：CI/CD环境中凭证的集中度和流动性极高，一旦攻击链条贯通，单次事件的危害远超传统包投毒。

二、攻击面演进的结构性逻辑

开源供应链攻击重心向CI/CD迁移，背后有其产业逻辑：

1. 上游包仓库防御增强。npm、PyPI等仓库逐步引入双因素认证、信任发布等机制，抬高了直接投毒的门槛，攻击者转向攻击构建与发布环节。

2. 凭证在流水线中高度富集。CI/CD系统天然持有云密钥、部署令牌、签名私钥，是“一次得手、全域沦陷”的理想目标。

3. 工作流配置的复杂性与社区依赖。第三方Action的广泛复用，使得攻击面从“代码依赖”扩展到“构建逻辑依赖”。

三、治理演进方向：全链路纵深防御

综合产业实践与技术演进，供应链安全治理将沿以下四个方向纵深发展：

1. SBOM从“可选项”走向“基础设施”

软件物料清单（SBOM）将成为企业软件交付的合规基线。其价值不仅在于满足监管披露要求，更在于构建“快速定位—影响评估—应急响应”的能力闭环：当MALFEX类恶意包被披露时，持有完整SBOM的企业可在数小时内完成自查与隔离，而非依赖被动等待厂商通告。

2. 流水线凭证加固成为刚需

GitHub Actions事件的“2577个目标密钥 vs 26个实际失窃”数据表明，凭证治理的核心是收窄暴露面与阻断执行链路：最小权限的工作流令牌、短时效凭证、环境隔离、第三方Action的固定版本引用与哈希校验，将逐步从最佳实践固化为平台默认策略。

3. 社区准入审核机制前移

包仓库侧的准入审核（发布者身份验证、新包观察期、行为静态检测）将在平台经济性与安全成本之间寻求平衡。完全前置审核可能抑制开源创新，因此更可能形成“自动化初筛+高风险人工复核+社区举报联动”的分层机制。

4. 企业侧软件成分治理与社区协同

企业不再仅是供应链的被动消费方，而将通过内部私源代理、依赖白名单、构建环境加固、漏洞情报回馈等手段，与社区治理形成双向协同。开源安全从“上游单方责任”转向“全链路共担”。

四、小结

开源供应链攻击的常态化，本质上是攻防对抗从终端、网络层向“软件生产过程”的延伸。参考事件的数据落差（注入2,577个密钥、实际外泄26个）也提示治理者：无需追求零风险，而应通过SBOM、凭证加固、准入审核与成分治理的协同，系统性压缩攻击者的行动空间与成功概率。未来2-3年，能否将供应链安全能力内化为软件交付流程的默认属性，将成为企业软件工程成熟度的重要标尺。