Straiker STAR Labs

虚假MCP服务器构建AI身份以渗透开发者生态系统

一项复杂的供应链攻击被揭露，其中一个名为SmartLoader的恶意软件活动花了三个月时间建立了一个虚假的开发者生态系统以获取信任。该活动涉及创建五个带有AI生成身份的GitHub账户和forked仓库，以模拟一个活跃的社区，所有这些都围绕着一个被木马化的Oura Ring MCP服务器。然后，该虚假服务器被提交到一个合法的MCP市场注册中心，这凸显了一种绕过软件组件传统审查方法的新型欺骗手段。