Unverified50% confidenceFactExact time
PyPI 历史上多次出现 typosquatting 攻击，恶意发布者注册与知名库名称相似的包名诱导开发者错误安装含恶意代码的包
1
Sources
50%
Confidence
Long-term
Relevance
7/6/2026
First Seen
Sources
AI Agent项目依赖冲突排查：环境搭建实战指南
bilibili新梦牌7/4/2026
Related Claims
Unverified历史上已有多起通过恶意VS Code扩展窃取开发者凭证的安全事件被报告65% similarUnverified攻击者利用AI幻觉出的包名，提前在npm、PyPI等包注册表抢注并植入恶意代码，这种攻击手法被称为slopsquatting61% similarUnverified厂商预装软件的提权漏洞根源往往在于特权服务的设计缺陷，包括不安全的IPC、文件/目录权限配置错误以及可被滥用的自定义操作接口60% similarVerified提示注入攻击通过在代码注释、文档、网页内容甚至文件名中嵌入伪装成系统指令的文本，诱导AI代理执行恶意操作60% similarUnverified许多组织通过 HackerOne、Bugcrowd 等漏洞赏金平台建立正式的 VDP（漏洞披露政策）59% similar
Cite This Claim
Stable URI
https://kongchang.com/claim/113633API
curl https://kongchang.com/api/v1/knowledge/claims/113633MCP
get_claim(id=113633)