《超级变色龙》爆火引黑客攻击，Steam创意工坊成攻击策源地？如何防中招？
涂鸦躲猫猫游戏《MECCHACHAMELEON》（《超级变色龙》）自6月10日登陆Steam，仅16天全球累计销量就突破1000万份，成为今年游戏圈最大黑马。然而，其走红也让它进入黑客视野。
近日，网络安全人员在Reddit发帖称，部分社区地图如Laser Tag Neon、Chroma Grid Arena被植入病毒。玩家启动这些地图后，游戏会在后台打开不可见的命令提示符窗口，并下载恶意程序。目前已有一位地图开发者电脑被感染，黑客借此控制了游戏的官方Discord服务器。玩家即便从Steam创意工坊正常下载第三方地图，带毒地图下载完成后也会在后台下载木马程序。
为何在Steam下载地图会中招？原来Steam创意工坊中的第三方内容加载时，许多游戏会通过附加的脚本（批处理程序，即.bat文件）实现玩法，这就给恶意程序留下操作空间。
其实这并非Steam创意工坊首次出事。一个月前，卡巴斯基安全研究人员发现，黑客将恶意程序伪装成热门软件壁纸引擎（Wallpaper Engine）的壁纸安装包。用户启动受感染壁纸，恶意程序会植入暗彗星（DarkKomet）恶意软件家族的后门程序，静默安装篡改后的系统库文件，盗取Steam登录凭证、劫持账号在线会话。
Steam创意工坊已成为黑客攻击策源地，但Valve方面可能既不想管，也管不了。说管不了，是因为知名科技媒体TheVerge曝光的法庭文件显示，2021年Valve仅336名员工，其中Steam运营仅79人。与腾讯、微软等游戏大厂相比，是名副其实的“小公司”。而Steam仅2025年就发布超2万款游戏，即便想预审也心有余而力不足。
而且，Steam创意工坊实行“分类分级审核制”，《CS2》《DOTA2》等自家游戏对首次发布者实行强制邮件验证叠加人工预审，第三方游戏则发布即公开（事后监管）。因为创意工坊是玩家自由创作乐园，是Steam核心竞争力关键部分，让Steam成为充满活力的“游戏社区”，玩家能通过它实现变现，开发者也乐见其成，所以Valve不太可能升级审查力度。
既然Valve难以加强审查，玩家该如何避免被黑客从创意工坊攻击呢？其实很简单，下载创意工坊内容时，选择已被其他玩家下载过的热门选项即可。因为现在黑客一般“图财”，基本不会大规模攻击，像《超级变色龙》中被植入病毒的地图就不算热门内容。
编辑观点：Steam创意工坊在带来活力与竞争力的同时，安全漏洞频发。Valve应在保障创意的同时，探索更有效的安全审查机制，玩家也需提高警惕，共同维护游戏社区安全。