安全研究者：「解码成功，也不能证明Python没被劫持」

当 coding agent 自动解压不可信压缩包、在目录中生成并执行 Python 脚本时，一个看似普通的 `import` 就可能成为攻击入口。本文深入拆解 Python 模块搜索路径的风险：攻击者可用同名文件抢先伪装标准库模块，并在不影响任务结果的情况下执行恶意代码。 节目将进一步分析这一机制为何在 AI 自动化工作流中被放大，并横向比较 Python、Ruby、Perl、Node、Java 与 Deno 的导入策略。它提醒我们：任务成功并不等于执行环境可信。 原文链接： https://nesbitt.io/2026/09/15/shadowing-the-standard-library.html 原文标题：Shadowing the Standard Library 建议结合原文阅读，了解完整攻击链与语言运行时的设计差异。 主要内容： • Python 会优先搜索脚本所在目录，使压缩包中的 `struct.py` 能抢先覆盖标准库模块。 • 恶意模块可重新导出真实 API，让解码任务正常完成，同时在导入阶段执行载荷。 • `python3 -I` 等隔离模式无法挽回首次导入时的劫持，甚至可能被攻击者用于后续清理环境。 • Python 的兼容性约束使安全路径难以成为默认设置；大量旧脚本依赖同目录导入。 • AI agent 自动下载、解压、写脚本并运行的流程，会把不可信目录转化为可被操控的依赖注入通道。 推荐理由： 这是一篇兼具底层机制与现实威胁建模价值的安全文章。它没有停留在“不要运行不可信文件”的常识，而是揭示了自动化系统如何打破原有的人类操作假设。对于构建、使用或评估 coding agent 的开发者与安全团队而言，理解这类导入劫持风险，是重新审视执行隔离、目录策略和依赖加载机制的重要起点。 --- 「Andrej Karpathy的RSS订阅清单」为您精选全球最前沿的AI技术博客文章，深度剖析技术背后的核心洞察。 由 voieech.com 提供技术支持。