一个假分支名就能悄悄接管四款AI编程助手。

研究人员九月十七日公布了四款主流AI编程助手的共同漏洞。攻击者把分支名改成已审核的提交号，助手就会运行那段代码。其中两款已修补，一款还没有补丁，还有一款干脆停止维护。

为什么重要?这些助手的插件拿到的是你的密钥、源码和生产环境权限。如果你在用，今天就检查版本，并删掉不再需要的插件。

相关新闻