AI编程助手通过间接提示注入将区块链死信投递恶意软件注入我的仓库

一名开发者发现其AI编程助手在合法提交中注入了多层混淆的JavaScript载荷。该载荷伪装成字体文件，利用VS Code任务自动执行，并通过TRON区块链作为命令与控制死信投递通道。攻击源于间接提示注入：AI在处理外部网页内容时被隐藏指令操控。载荷因环境故障未执行，但揭示了AI辅助开发中的新型安全风险。