这个暑假，如果你在Steam创意工坊订阅过第三方地图，尤其是还在玩那款"涂鸦躲猫猫"，先看一眼自己的订阅列表，再往下读。
就在本周，有网络安全人员在Reddit上爆料：包括Laser Tag Neon、Chroma Grid Arena在内的一批《超级变色龙》社区地图被植入了病毒，玩家启动这些地图后，游戏会在后台打开不可见的命令提示符窗口，并下载恶意程序。更让人后背发凉的是，中招的玩家并没有做任何"出格"操作，他们只是从Steam创意工坊——这个最官方的渠道——正常订阅了地图。知乎
火的不是游戏，是黑客的注意力
这款游戏就是《MECCHACHAMELEON》，国内更常叫它《超级变色龙》或"涂鸦躲猫猫"，今年游戏圈最大的黑马：6月10日发售，不到一个月团队就宣布总销量达到1500万套，而当年现象级的《幻兽帕鲁》首月也才卖出800万套。36氪热度有多夸张，看看开发者发布的这张700万份贺图就懂了。微博
游戏火到这个量级，盯上它的就不只是玩家了。上个月，它刚被外挂制作者盯上，正常玩家甚至要在对局里自发画红箭头反制作弊者。微博而这次来的更恶意：玩家从创意工坊下载带毒地图，一启动，木马就在后台静默安家；已有一位地图开发者中招，黑客顺着他被感染电脑的权限，一度控制了游戏官方Discord服务器。知乎
创意工坊不是第一次出事
而且这已经不是Steam创意工坊第一次出事。就在一个月前，卡巴斯基的安全研究人员发现，有黑客将恶意程序伪装成热门软件壁纸引擎（Wallpaper Engine，玩家口中的"小红车"）的壁纸安装包，用户一旦启动受感染的壁纸，设备就会被植入暗彗星（DarkKomet）家族的后门程序，Steam登录凭证被窃、账号会话被劫持。36氪账号里的游戏和库存，都可能跟着不保。
上周，国内一家安全团队对疑似样本做了完整逆向分析，确认这类恶意壁纸基于python环境运行，核心恶意功能是通过内存扫描窃取令牌，还会写注册表和计划任务实现自启动。知乎
它甚至会把壁纸引擎和Steam里的举报按钮隐藏掉，并把Steam客户端的帮助/支持页面劫持到钓鱼站——真中招后想从客户端入口求助，打开的页面可能一开始就是假的。知乎
官方渠道，为什么不设防
很多人的第一反应是不敢信：Steam创意工坊又不是什么第三方下载站，怎么还能过木马？真相有点反常识——创意工坊从来不是一个会对内容做安全扫描的渠道。
目前Steam创意工坊实行的是"分类分级审核制"：《CS2》《DOTA2》这类Valve自家游戏，对首次发布者强制邮件验证叠加人工预审；第三方游戏则是发布即公开，也就是事后监管。36氪Valve还是玩家调侃的那家"小公司"：The Verge曝光的法庭文件显示，Valve在2021年共有336名员工，而Steam仅2025年一年就发布了超过2万款游戏。知乎让这点人力对创意工坊内容做逐件预审，既没人手，也没意愿——创意工坊恰恰是Steam最核心的竞争力之一，收紧审核等于砍掉自己的活力。
于是大家要面对一个现实：你订阅的是"官方渠道"的内容，但官方并不承诺替它做安全扫描。
哪些订阅内容真的危险
先说结论：不用退订全部。把机制看穿之后，判断尺度其实很简单——看这类内容有没有"执行权限"。
内容类型 | 典型例子 | 风险 | 原因 |
|---|---|---|---|
脚本/可执行类 | "应用程序"类壁纸、附带.bat等脚本的地图和MOD | 高 | 启动即可运行任意代码，等于给恶意程序开门 |
冷门新发布 | 订阅量极少的新地图、不知名作者的新品 | 中 | 还没被足够多玩家"人肉"验证，出事也难被发现 |
纯资源类 | 贴图、模型、音效包 | 低 | 本身不被执行 |
热门老牌+V社自家 | 高下载量的长青地图、CS2/DOTA2工坊 | 较低 | 预审机制+海量下载量形成天然筛选 |
一句话记牢：内容越"活"（能跑脚本、能交互），风险越高；内容越热门，反而越安全。
壁纸引擎Wallpaper Engine那边，官方其实动过手：创意工坊里的"应用程序"壁纸分类已被移除，官方也明确承认这类壁纸因拥有完整的系统访问权限而存在安全风险。但注意，已被用户下载到本地的旧壁纸仍可能持续存在。知乎下架不等于自动清理，老订阅要自己翻。
自查清单，对号入座
正在玩"涂鸦躲猫猫"的：打开创意工坊订阅列表，看看有没有Laser Tag Neon、Chroma Grid Arena，有的话先取消订阅，再做一次全盘查杀。如果之前启动地图后出现过后台黑窗一闪、杀毒软件报警这类情况，别当巧合处理。
在用"小红车"的：翻一下订阅的壁纸里有没有"应用程序"类。这个分类已被官方下架，你本地还留着的都是旧订阅，越老越值得多看一眼，拿不准就删。
怀疑已经中招的：改Steam密码、确认Steam Guard手机令牌在生效、检查登录设备和历史记录，这套基础动作别省。再多提醒一句：这次的恶意样本会劫持客户端里的帮助/支持页面跳到钓鱼站，所以处理账号问题请用外部浏览器手动输入官方网址，别点客户端里那个"支持"入口。
只想以后安心的：订阅前先看下载量和发布时间，优先热门老牌内容。现在的黑客一般是"图财"而非"邀名"，基本不进行大规模攻击，这次中招的两张地图也都不是热门内容。36氪
不用恐慌，但这两个信号值得盯
说到底，这次事件的波及面并不大：中招的都是冷门内容，攻击者也明显没打算搞大。创意工坊还是那个创意工坊，是很多游戏"多玩一百小时"的理由，需要改变的只是订阅习惯。
两个后续信号值得关注：一是Valve会不会就创意工坊安全问题公开表态、调整第三方审核规则；二是《超级变色龙》官方会不会给社区地图加上审核或举报机制。这两件事只要有进展，你订阅列表里哪些能留、哪些要删，答案都会更清楚。
话说回来，你上一次清理创意工坊订阅列表是什么时候？里面有没有连来历都记不清的"神秘订阅"？评论区聊聊。
