供应链破坏: 开源依赖投毒

开源依赖投毒（Open Source Dependency Poisoning）是通过篡改开源软件库中的代码或依赖关系，将恶意功能植入下游应用的攻击技术。攻击者通常选择具有广泛依赖基础的开源组件（如NPM、PyPI包），通过合法账号提交包含后门的代码更新，或创建名称相近的仿冒库诱导开发者误引用。恶意代码在构建阶段被自动集成到目标软件中，形成从开发到交付的全链路污染。

该技术的匿迹性源于开源生态的信任传递机制与自动化构建特性。攻击者利用开源社区代码审查机制的漏洞，将恶意载荷拆解为多阶段触发模块，使其通过静态代码扫描。通过依赖链的级联传播，恶意代码随合法软件更新扩散至海量终端，形成"单点投毒、全局感染"的隐蔽攻击路径。技术实现中采用版本号伪装（如发布带后门的次要版本更新）、代码逻辑混淆（将恶意函数嵌套在正常业务逻辑中）、以及动态载荷加载（仅在特定条件触发时下载攻击模块）等手法，使安全团队难以通过代码审计或沙箱检测发现异常。恶意代码的激活延迟性与传播随机性，进一步模糊了攻击源与受害目标的直接关联。