arch linux 的使用者儲存庫（aur），作為全球最具活力的社群驅動軟體來源之一，長期以來以其龐大的先進第三方軟體套件陣容而聞名，這正是 arch 生態系統的核心優勢。然而，近期一場廣泛蔓延的供應鏈攻擊浮出水面：數個可疑帳號利用 aur 的開放協作模式，悄然將惡意程式碼植入數百個軟體套件中——這些程式碼會自動取得並執行特製的 npm 套件，部署鍵盤記錄器與資料外洩模組，對用戶隱私與系統安全構成嚴重威脅。
根據官方 arch 公告以及 aur 郵件列表上的揭露，目前已確認超過 400 個軟體套件遭到惡意篡改，涵蓋常用工具、開發依賴項目及桌面應用等多種類別。社群已啟動緊急應變措施，維護者正帶領團隊追蹤程式碼變更、清理受污染的提交內容，並凍結相關帳號。資深維護者 jonathan grotelüschens 明確表示，團隊正不遺餘力地「回復所有惡意修改、移除受感染版本，並永久封鎖涉事帳號」。部分套件已被標示為「不安全」或暫時下架，但全面清潔工作仍有待完成。
法醫分析顯示，此次攻擊手法極其隱蔽：攻擊者主要鎖定長期被遺棄的「孤兒套件」，透過申請「收養」獲得上傳權限後再植入惡意邏輯；有些提交甚至偽裝成例行功能更新，成功繞過社群的自動檢查機制。目前尚不清楚這究竟是單一目標的協調行動，還是多個獨立行動者相互合作的結果，但共同點在於精準利用了 aur 在帳號驗證、權限轉移及人工審核流程中的漏洞。
針對安全建議，專家強調此時應採取防禦措施：避免使用 `yay` 或 `paru` 等 aur 相關工具進行大規模升級；仔細核對已安裝套件是否列於官方公布的受感染清單中；及時卸載高風險套件或改用可信替代品；並啟用沙盒建構方式，如 `makepkg --noextract`，以加強本地編譯過程中的安全隔離。
這起事件不僅凸顯了去中心化軟體分發模式在信任機制方面固有的矛盾，也將開源供應鏈治理推至焦點——如何建立一套包含動態身分驗證、變更行為分析及可疑模式早期預警的三重防護框架，同時維持社群的自主性與靈活性？aur 即將推出的機制升級，或許能為更廣泛的 linux 發行版生態系統提供重要參考。
了解更多：
https://lists.archlinux.org/archives/list/[email protected]/thread/fgxpcb3zvcjiv7fx323sbax2jhyb7zs4
