对通关了《半衰期：爱莉克斯》的玩家来说，这游戏往往是打完主线才真正开始：工坊战役、新地图、武器MOD，社区里一直有“通全关了还有几百G内容等你”的说法。哔哩哔哩但最近，爱装MOD的朋友需要多留个心眼——短短一个多月里，Steam创意工坊接连出了两起确认的恶意软件事件，中招方式都是“正常下载”。
下了两张地图，电脑成了别人的
第一起发生在今年的现象级独立游戏《超级变色龙》身上。这款游戏自6月10日登陆Steam后，仅用16天销量就突破了1000万份。36氪7月28日，游戏媒体Polygon报道，它的部分创意工坊地图被植入了恶意软件。IT之家
手法并不复杂：玩家启动带毒地图后，游戏会在后台悄悄打开一个看不见的命令提示符窗口，下载恶意程序。36氪随后，受影响设备会被装上远程访问木马，攻击者可以直接远程控制这台电脑。微博
事情曝光后，Steam下架了带毒地图Laser Tag Neon，但攻击者很快又上传了另一张带毒地图Chroma Grid Arena。微博
更惨的是开发者也被拖下水：lemorion_1224和Haganeiro两位开发者发布3.1.0版本修补漏洞，修复过程中自己的电脑却感染了病毒，黑客顺着这台电脑的权限，一度控制了游戏的官方Discord服务器。36氪攻击者还绕过了工程师Discord账号的双重认证，封禁了全部工作人员，一度接管了拥有10万名成员的官方服务器。微博直到7月26日，开发者才重新拿回服务器控制权，随后又推送3.3.1更新强化防护。
地图之外也有坑。就在一个月前，卡巴斯基的研究人员发现，黑客把恶意程序伪装成壁纸引擎Wallpaper Engine的安装包，用户一旦启动带毒壁纸，设备就会被植入暗彗星DarkKomet后门，静默装上被篡改的系统库文件，最终目的是盗取Steam登录凭证、劫持账号的在线会话。36氪账号被盗之后，等着你的还有更精准的套路：社区最近泛滥的“假红信”骗局，就是骗子用木马篡改本地Steam客户端，伪造出和官方几乎一模一样的封禁红信界面，诱导你交出令牌、转移饰品，圈内管这叫“赛博花柳”。知乎
官方渠道，怎么会被钻空子
很多人第一反应是：创意工坊是Steam官方渠道，怎么会有病毒？问题出在执行机制上。工坊里的第三方内容不是单纯的文件下载，许多游戏在加载地图或MOD时会通过附加的脚本、也就是批处理程序（.bat文件）来实现玩法，这就给恶意程序留下了可操作空间。36氪换句话说，“订阅并启动”这个动作本身，就是一次执行。
那Valve能不能审？目前Steam创意工坊实行的是分类分级审核制：《CS2》《DOTA2》这类Valve自家游戏，首次发布者要强制邮件验证加人工预审；第三方游戏则是发布即公开，只做事后监管。知乎
Valve也没有足够的人手去做人工预审。The Verge披露的法庭文件显示，Valve在2021年总共只有336名员工，其中负责Steam运营的只有79人。36氪而Steam仅在2025年一年就上线了超过2万款游戏，件件预审根本不现实。
再加上创意工坊本身就是Steam的招牌，Valve主观上也不想收得太紧。对于创意工坊被黑客利用这件事，Valve方面可能既不想管，也管不了。知乎
那Alyx的工坊，到底危不危险
先说个查证过的事实：截至目前，我在微博、B站等平台检索，没有找到《半衰期：爱莉克斯》创意工坊的确认中招案例。两起已确认的事件，一起发生在《超级变色龙》（第三方工坊、发布即公开），一起发生在壁纸引擎。而Alyx是Valve自家游戏，按分级审核的标准，它的工坊属于审核相对严格的一档，首次发布者至少要过邮件验证和人工预审。
但有两点不能忽略：一是即便是自家游戏工坊，预审核对的也只是“首次发布者”，后续更新的内容仍是事后监管；二是分级审核制本身的存在，就说明Valve也无法保证工坊内容百分之百安全。不用恐慌，但对“没几个人玩过”的新东西多看一眼，不算过度紧张。
而且可以稍微安心一点：现在的黑客一般“图财”不“邀名”，基本不会搞大规模攻击，下手的也多是冷门内容——这次中招的两张地图，就都算不上热门。36氪反过来，Alyx工坊里那些真正被大众反复游玩的战役大图、口碑MOD，早就被订阅量和实况视频筛选过一轮，反而相对安全。
订阅之前，把三条纪律做够
想继续安心玩MOD，记住三条就够了。
第一条，优先选热门。下载创意工坊里的内容，选择已经被其他玩家下载过的热门选项即可。知乎Alyx工坊恰好不缺这种“被验证过的内容”：有UP主的工坊地图实况一直在更新到今年8月，《枪手合约》《暗流》这些图玩得明明白白，一张图靠不靠谱，很容易看明白。哔哩哔哩
第二条，冷门新物品先别碰。上架没几天、订阅数为零、没有任何讨论的物品，先别订阅；真想玩，等有人验证过再说。别忘了Chroma Grid Arena的教训：带毒地图被下架后，攻击者换个名字就能重新上传。
第三条，给账号和电脑上保险。开启Steam手机令牌。如果电脑上弹出“封禁红信”，不要点击页面里的任何按钮，先打开手机Steam APP或网页版核对——官方封禁通知是云端同步的，不会只在电脑客户端单独显示。知乎如果确实碰过可疑地图，立刻做一次完整的恶意软件扫描，再检查“文档”和临时文件夹里有没有可疑的.bat文件。微博
最后
对Alyx玩家来说，创意工坊依然值得玩，社区里那几百G的内容不会消失，等《半衰期3》的日子还得靠这些MOD打发。需要改变的只有一件事：点下订阅之前，花十秒看一眼订阅数和上架时间。
另外两个信号值得继续盯着：一是Valve会不会给创意工坊的可执行内容上审核机制，二是Alyx工坊物品有没有出现被批量下架的情况。哪个出现，都说明风向变了，到时候再重新盘点。
