事件回顾：一次教科书级的供应链攻击
5月18日，一个看似平常的下午。VS Code Marketplace上，拥有220万次安装的Nx Console扩展被植入恶意代码，仅存活18分钟。但这18分钟足够长了。TeamPCP攻击组利用这个窗口，窃取了GitHub内部3800个仓库的访问权限，还顺带捞走了1Password保险库、npm token、AWS凭证，以及Anthropic Claude Code的配置文件（
~/.claude/settings.json）。随后，攻击通过CI/CD管道横向移动，波及OpenAI（两台员工设备沦陷，macOS签名证书被迫撤销）、Mistral AI（被勒索2.5万美元门罗币）、欧洲委员会官网等。
为什么AI开发者的风险更高？
这次攻击有一个特别值得AI开发者警惕的细节：攻击者明确把Claude Code配置文件列为了高价值目标。Claude Code、Cursor Composer、GitHub Copilot Workspace这类AI编程工具，本质上是在你的本地环境里以较高权限运行——它们需要读取代码库、执行终端命令、访问API密钥，甚至直接提交代码。一旦它们的配置文件或认证凭据被盗，攻击者获得的不是一个普通账号，而是一个已经拥有你开发环境上下文和权限的AI替身。
想象一下：攻击者拿到你的Claude Code配置，里面可能包含：
- 你常用的代码仓库路径和分支策略
- 已授权的API密钥和令牌
- 自定义工具调用规则（比如自动部署脚本）
我的防御清单：给个人开发者的五层防护
基于这次事件，我重新审视了自己的工具链安全，整理了以下五层防护，供参考：1. 扩展和包的最小化原则
Nx Console事件再次证明：你安装的每一个VS Code扩展、每一个npm包，都是潜在的供应链攻击面。我的做法：
- 每月审查一次已安装扩展，删除三个月未用的。
- 对涉及文件系统访问、终端执行的扩展，优先选择官方或经过社区长期验证的。
- 在VS Code设置里开启
extensions.autoCheckUpdates，但不要开启自动安装——给自己留一个阅读changelog的窗口。
2. 凭证的隔离与短期化
攻击者能横向移动，很大程度上是因为开发者机器上的凭证生命周期太长。我的调整：
- GitHub Personal Access Token全部换成fine-grained token，限定仓库范围和权限（只读或只写，绝不给admin）。
- AWS凭证不再放在
~/.aws/credentials，而是改用IAM Roles Anywhere或短期STS token。 - npm token从全局
~/.npmrc移除，改用每个项目独立的.npmrc，配合npm login --auth-type=legacy的短期会话。
3. AI工具配置的沙盒化
Claude Code的配置文件被偷，说明~/.claude/目录的权限需要收紧。我的实践：
- 把Claude Code的工作目录限制在特定容器或Dev Container里，避免它直接访问宿主机的
~/.ssh/和~/.aws/。 - 使用
direnv+.envrc管理项目级环境变量，而不是把密钥塞进全局AI工具配置。 - 定期执行
claude config --show检查是否有意外持久化的敏感信息。
4. 监控异常的工具调用
AI编程工具的一个风险点是：它们会代表你执行命令。如果攻击者劫持了工具配置，可能让你的AI"自愿"执行恶意脚本。我加的监控：
- 在
~/.bashrc里给curl | bash这类操作加一层确认提示（虽然有点烦，但值得）。 - 对Claude Code的自动提交功能保持关闭，所有
git push必须人工确认。 - 用
git config --global alias.lg "log --graph --oneline --decorate"保持对提交历史的快速审查习惯。
5. 假设 breach 的响应预案
这次事件里，OpenAI选择在6月12日全面撤销macOS应用签名证书。 这意味着如果你在用macOS版ChatGPT桌面端，必须在那之前重装。我的预案：
- 维护一份凭证轮换清单：GitHub、npm、AWS、1Password、各云服务商，按优先级排序。
- 对关键仓库启用GitHub的private vulnerability reporting，确保即使仓库被克隆，安全问题能被快速响应。
- 本地保留一个离线备份的GPG密钥，用于紧急签名验证。
结语
18分钟，一个被信任的扩展，一条伪装成MCP配置的shell命令，一串连锁反应。作为AI开发者，我们往往沉迷于模型能力和Prompt技巧，却容易忽略一个事实：你的开发环境本身就是最大的攻击面。当AI工具越来越深入地嵌入你的工作流——读你的代码、执行你的命令、访问你的密钥——保护工具链就不再是运维团队的专利，而是每个开发者必须亲自面对的工程问题。
这次事件给我的最大教训是：在AI时代，安全不是外围防御，而是工具链架构的一部分。你在设计Agent工作流时，不妨多问一句：如果这个节点被攻破，最坏情况下它能做什么？这个问题的答案，应该决定你给它的权限边界。