AI复刻Adobe被黑客盯上，开源项目下载需谨慎

最近看到一条挺让人后背发凉的消息。之前那个用AI复刻Adobe全家桶的开源项目PhotoCraft不是火了一阵嘛，结果现在有黑客直接假冒它的名字在GitHub上发恶意安装包。火绒安全实验室已经报了，假冒仓库叫PhotocraftAdobe/PhotoCraft-Photoshop，跟原项目名就差几个字母，一般人真容易看走眼。

这个恶意包干的可不是小事。它会试着绕过Windows Defender，然后在后台偷偷下载更多组件。具体包括：窃取Steam账号密码、记录键盘输入和粘贴内容；搜集Exodus、Electrum、Ledger Live这些数字钱包的数据文件；弹出假钱包窗口骗你输密码、PIN码甚至恢复词；监控剪贴板把收款地址换成黑客的；最后还拿你电脑挖矿、当代理服务器。一套组合拳下来，账号和币基本就没了。关键是这事得说清楚：不是原版PhotoCraft被投毒，是第三方假冒仓库在钓鱼。官方项目在GitHub上是storytold/photocraft，认准storytold这个组织名。但说实话，官方项目本身又涉及ArtCraft、storytold、photocraft三个名字，我第一次看也懵，普通用户哪分得清。所以最稳妥的办法就是下载前翻两眼仓库地址、提交历史和Issue页面，热门项目Issue里通常有很多用户提问和开发者回复，稍微看看就能判断真假。我自己做跨境工具这块，感受特别深。AI把开发门槛拉低之后，人人都能快速复刻一个热门项目，但安全素养没跟上。黑客也是同一批工具的使用者，他们复刻的不是软件，是你的信任。以后看到“免费开源”“AI复刻大牌”这种标签，第一反应不该是冲，而是先查仓库主人是谁、代码有没有人审、Issue区活不活跃。攻防这事从来都是有来有往，像人和病毒一样互相卷。作为普通用户，咱们能做的就是多留个心眼，别让“免费”两个字冲昏头。