先说一个颇具戏剧性的开场：一夜之间，微软大量最新的 GitHub 仓库，毫无预兆地“凭空消失”了。

上周，GitHub 在仅仅 105 秒内，一口气关闭了 73 个微软旗下的全新项目，涉及 Azure、Durable Task 以及多个 AI 开发相关的代码库。动作之迅速，令人猝不及防。

安全研究人员循迹追踪，发现事情并不简单——部分项目疑似被植入了恶意代码。关键在于，这些恶意代码的狩猎目标非常明确：一旦开发者通过 Claude Code、Gemini CLI、Cursor 这类 AI 编程工具打开这些项目，账号凭证、访问令牌等敏感信息就可能瞬间被窃取。

105秒内，73个微软最新仓库集体消失

这场风波的最初信号，来自大量微软最新项目在 GitHub 上的“集体失踪”。

专门追踪供应链攻击的安全机构 OpenSourceMalware 上周发布报告称，6 月 5 日那天，GitHub 在短短 105 秒内，连续关闭了微软旗下多个组织中的 73 个仓库。动作之果断、效率之高，堪称“雷霆手段”。

被下线的项目覆盖面相当广：整个 Azure Functions 组织、Durable Task 项目家族、多个 AI 示例应用、Azure 云服务相关项目，以及一大堆开发者工具仓库。根据研究人员统计，光是 Azure 相关的项目就占了 49 个。

用户尝试访问这些项目时，页面都统一显示：“该仓库已被禁用。由于违反 GitHub 服务条款，GitHub 工作人员已禁用了对此仓库的访问权限。”

这种一次性关闭几十个最新开源仓库的操作，放在任何企业身上都极为罕见。更何况 GitHub 本身就是微软旗下的平台，这种“自己封自己”的举动，显得格外反常。

随后，微软向多家媒体证实了仓库下线的事实：“在调查潜在恶意内容期间，我们临时移除了一些仓库。”但关于具体原因和影响范围，微软当时并未披露更多细节。

攻击目标：使用AI编程工具的开发者

随着更多安全机构介入调查，事件背后的攻击链条逐渐清晰起来。

安全公司 StepSecurity 在分析报告中指出，这次大规模仓库关闭，与微软开源项目 Durable Task 中的一次恶意提交直接相关。攻击者向项目中植入了一系列经过特殊设计的配置文件，这些文件表面上看没什么问题，但一旦开发者用现代 AI 编程工具加载项目，它们就会自动执行相关操作。

受影响的工具包括 Claude Code、Gemini CLI、Cursor 和 VS Code。根据 StepSecurity、Cloudsmith 以及 OpenSourceMalware 等机构披露的信息，这些恶意配置的目标非常纯粹——窃取开发者的身份凭证：GitHub Token、云平台访问密钥、API Key、环境变量中的敏感数据、企业内部账号认证信息等等。

换句话说，这不是一次针对普通用户的攻击，而是一场精准瞄准开发者群体的供应链攻击。而开发者，往往是掌握着大量高价值权限的人。

一个开发者账号被窃取，可能意味着什么？企业云资源被接管、CI/CD 流水线被篡改、内部代码库被访问、客户数据暴露，甚至更多下游软件受到感染。这种攻击的破坏力，远高于普通恶意软件传播事件。

TeamPCP再次现身？

调查人员随后将怀疑的目光投向了一个近半年来异常活跃的黑客组织——TeamPCP。

公开资料显示，TeamPCP 在 2026 年上半年发动了大量针对开源生态的供应链攻击，受影响组织数量已达数百家。他们的惯用手法并非直接攻击企业网络，而是通过控制开源项目、依赖包和开发工具，将恶意代码悄悄植入开发流程之中。

值得注意的是，今年 5 月，微软开源项目 Durable Task 就曾遭到入侵，攻击者成功发布了三个带有恶意代码的版本。OpenSourceMalware 在最新分析中提出了一个耐人寻味的判断：这次事件，很可能是对 Durable Task 项目的“再次入侵”。

这意味着两种可能：第一，微软在第一次事件后，未能彻底清除攻击者留下的访问权限或后门；第二，微软遭遇了另一场全新的独立攻击。无论答案是哪一种，都说明此前微软的修复工作可能并未完全消除风险。

微软：已有部分用户收到通知

面对外界质疑，微软随后发布了进一步声明：“保护客户以及整个生态系统是我们的首要任务。在调查潜在恶意内容期间，我们临时下线了部分仓库。经过审查后，其中一些仓库已经恢复上线，另一些仓库则可能继续保持离线状态，直到调查结束。”

微软发言人 Ben Hope 还透露，作为调查工作的一部分，公司已经通知了少量可能下载过受影响仓库内容的客户：“如果后续发现需要客户采取进一步行动的情况，我们将通过既有支持渠道直接联系相关用户。”

截至目前，微软仍未公布具体受影响人数，外界无法确认究竟有多少开发者曾下载过相关项目，又有多少用户可能暴露了敏感凭证。

对于正在使用 Claude Code、Gemini CLI、Cursor 或 VS Code 的开发者来说，安全机构给出了几点非常实用的建议：不要因为项目来自“微软最新”就完全放松警惕，不要默认 AI Agent 执行的每个配置都是安全的，更不要忽视本地环境中那些看似普通的配置文件和自动化脚本。审慎评估在 AI 助手中直接运行未知仓库的风险，才是上策。

毕竟在 AI 开发时代，供应链攻击的战场早已不再局限于代码仓库本身，而是正在向整个 AI 开发工具链全面蔓延。