远程面试发来的代码作业，可能不是考题：Git Hook 一跑，电脑就成了目标

据开发者 Appaji 的文章 Fake job interview Git hook malware 记录，他在一次远程职位沟通中收到代码作业，随后发现项目里隐藏了恶意脚本。攻击者通过 Git Hook、隐藏目录和看似正常的项目依赖，在候选人执行 git 命令或打开目录时触发远程命令下载。

一句话结论：陌生招聘方发来的代码仓库，不只是“能不能跑”的问题，而是“你凭什么让它在你的电脑上跑”。

这类攻击很阴险，因为它借用了开发者最熟悉的流程：下载仓库，装依赖，看 README，跑测试，提交作业。候选人通常处在想尽快证明自己的状态，很容易降低警惕。

文章里最值得注意的不是某个具体 payload，而是攻击路径：对方拿一个看起来正常的开源 FastAPI 项目，叠加隐藏目录和恶意脚本；项目中还出现了可疑依赖，比如剪贴板访问、文件系统访问和 Hardhat 相关工具；甚至还有变体把命令藏在 .vscode 配置里，让用户打开目录就可能触发。

林岚建议开发者把“面试作业仓库”当成不可信供应链。不要在主力电脑上直接跑，不要先 npm install 或 pip install 再看，不要忽略隐藏文件，不要相信“只是一个小测试”。最基本的做法是先离线查看文件树，检查 .git/hooks、.vscode、安装脚本、postinstall、Makefile、CI 配置和依赖变更。

更稳的办法是把面试作业放进一次性容器、虚拟机或临时用户环境里跑，并关闭敏感凭证访问。浏览器钱包、SSH key、云服务 token、公司 VPN 配置，都不应该暴露给陌生仓库。

这不是让大家对所有远程面试都疑神疑鬼。只是开发者电脑现在太值钱了：里面有代码权限、云凭证、聊天记录、浏览器登录状态和钱包扩展。攻击者伪装成招聘方，比发一封普通钓鱼邮件更容易让你执行代码。

这类攻击还有一个心理优势：面试场景天然有时间压力和权力不对称。对方说“请今晚完成”，候选人很容易少问一句为什么。尤其是远程合同、Web3、AI 初创公司和跨境外包岗位，本来就常见异步沟通，攻击者伪装起来成本很低。

OC 的建议很简单：任何要求你运行陌生代码的招聘流程，都应该允许你在隔离环境中完成。如果对方强迫你关闭安全工具、安装不明依赖、导入私钥或登录个人账号，这就不再是面试，而是红色警报。

关键事实

• 来源：Appaji 个人技术文章
• 涉及技术：Git Hook、隐藏目录、VS Code 配置、恶意依赖、远程命令
• 攻击场景：远程招聘、代码作业、合同转全职职位
• 关键风险：候选人在本机运行不可信项目，可能触发凭证窃取或恶意下载

OC 判断

开发者招聘流程正在变成攻击入口。代码作业不是文档附件，而是可执行供应链，应该默认隔离运行。

为什么重要

• 对开发者：陌生仓库先审查再运行，最好用容器或虚拟机。
• 对企业：候选人测试项目也可能成为供应链攻击路径，招聘流程需要安全规范。
• 对用户：开发者设备被攻破，最终可能影响产品、服务和用户数据安全。

参考来源

• Appaji: Fake job interview Git hook malware