9月22日，一款在Steam上积累了几十万条评测的布娃娃沙盒游戏，把创意工坊整个关掉了。不是维护，不是升级，是开发者亲手按下的关闭键。理由只有一句话能概括：又来了一个恶意模组，而且这次特别狠。
这款游戏叫People Playground。如果你没玩过，简单说就是一个物理沙盒，玩家摆弄布娃娃、搭装置、看它们以各种方式散架。它的创意工坊一直是社区的核心，地图、模组、玩法扩展基本靠玩家自己撑起来。也正因为这样，工坊一旦出问题，受伤的不是开发者，是每一个点过订阅按钮的人。
这不是第一次，但这次不一样
事情得从今年2月说起。当时工坊里出现过一个能自我复制的模组，会直接清掉玩家的存档。那一次已经够让人头疼了，但至少性质还算"恶作剧"级别。之后又出现了带恶意代码的地图，黑客借这些地图拿下了Meccha Chameleon的Discord服务器。工坊用户从那会儿起就有点神经紧绷，谁也不知道下一个被塞进订阅列表里的东西是什么。
然后第二轮来了，比第一轮难看得多。
开发者mestiez在Steam上发帖，开头写得很直白："你可能已经注意到创意工坊又消失了。几个小时前我把它禁用了，因为又出现了一个恶意模组。这一个特别糟糕。"
时间线是这样的：9月21日，任何启动过带模组版本游戏的玩家，都被要求做三件事——删掉mods文件夹、跑一次杀毒扫描、在另行通知前别再打开游戏。到了9月22日，mestiez直接关掉了整个创意工坊。
从"没偷密码"到"赶紧改密码"
最值得注意的转折，是开发者对凭据问题的表态变化。
mestiez一开始坚持说，这个恶意程序没有窃取账号凭据。但随后他把这句话划掉了，改成建议玩家去修改所有重要账号的密码，理由是——如果它确实偷走了会话令牌，改密码能让这些令牌失效。
这个改口本身就说明了很多。开发者没法百分百确认它到底拿走了什么，只能按最坏情况给建议。
按照开发者的说法，这个程序能抹掉相当一部分个人数据，还能把Discord用户名和其他身份信息发布到创意工坊上。也就是说，它不只是搞破坏，还带一点"公开处刑"的意思。
Reddit网友拆包后，发现了更多
一位Reddit用户对这个模组做了拆解分析，结论比开发者描述的还要难看。据这位用户称，这个模组会劫持Steam账号来重新发布自己，删掉玩家电脑上其他已安装游戏的文件，还会用受害者的Steam好友列表发侮辱性内容。
最后这一条大概是整件事里最让人不舒服的部分。你账号被盗、文件被删，这些还能理解成技术层面的损失。但用你的号去骂你的好友，这是把社交关系也一起拖下水了。有媒体在报道里直接写了一句：这可不是任何人点单的那种多人游戏体验。
开发者的解法：干脆别用模组了
Studio Minus随后推送了一个版本，直接让模组完全无法运行。在Discord上，开发团队表示，只有在模组从底层变得安全之后，模组支持才可能回来——而这"可能永远不会发生"。
这个表态听起来很丧，但翻回去看开发者zooi上个月的一篇博客，会发现这不是临时情绪。他在那篇博客里把这款游戏称为"设计糟糕"和"技术地狱"，并且承认："游戏里确实有几套机制用来防止模组伤害系统，但这是一场没有希望的军备竞赛。以模组目前的状态，想正确地做沙箱隔离，技术上是不可能的。"
换句话说，问题不在某一个恶意模组，而在这套模组机制本身就没法被可靠地关进笼子里。开发者能做的只有两件事：要么一直打补丁追着跑，要么把门关上。他们选了后者。
今年Steam上，这不是孤例
People Playground也不是今年第一个对自家创意工坊动刀的Steam应用。在此之前，Wallpaper Engine已经下架了数千张壁纸，原因是发现恶意软件伪装成自定义背景在传播。当时Steam还专门提醒过用户，有黑客正利用Wallpaper Engine窃取账号。
把这几件事放在一起看，会发现一个共同点：出问题的都是那种"用户上传内容直接进游戏或系统"的功能。壁纸、地图、模组，本质上都是让别人的代码跑在你的机器上。方便是真方便，风险也是真风险。
对玩家来说，现在能做什么
如果你恰好是People Playground的玩家，并且9月21日启动过带模组的版本，开发者给出的操作很明确：
- 删除mods文件夹
- 运行一次杀毒扫描
- 在另行通知前不要打开游戏
- 修改所有重要账号的密码，尤其是和Steam、Discord相关的
至于创意工坊什么时候回来，目前没有时间表。开发团队的说法是，要等模组从根子上变安全，而这件事在他们看来可能永远不会发生。
一款靠社区内容活了这么久、攒下几十万条评测的沙盒游戏，最后卡在了"社区内容本身不安全"这道坎上。这个结局说不上好看，但至少开发者没有装作没事发生。
热门跟贴