涂鸦躲猫猫游戏《MECCHACHAMELEON》（《超级变色龙》）相信有不少朋友不是亲身体验过，就是在短视频平台刷到过它的视频切片。自从6月10日登陆Steam以来，这款游戏仅用16天就在全球收获了突破1000万份的累计销量，成为今年截至目前游戏圈最大的一匹黑马。

然而人红是非多，游戏也一样，《超级变色龙》的走红让它进入了黑客的视野。近日有网络安全人员在Reddit上发帖称，包括Laser Tag Neon、Chroma Grid Arena在内的部分社区地图中被植入了病毒，玩家启动这些地图后，游戏会在后台打开不可见的命令提示符窗口，并下载恶意程序。

目前已有一位《超级变色龙》的地图开发者中招，TA的电脑被恶意程序感染后，黑客顺着这台电脑的权限，一度控制了该游戏的官方Discord服务器。而玩家中招的方式更简单，即便是正常从Steam创意工坊下载的《超级变色龙》第三方地图，这些带毒的地图一旦下载完成，就会在玩家电脑的后台打开不可见的命令提示符窗口，并下载真正的木马程序。

那么问题就来了，为什么只是在Steam下载一个地图就会中招？其实Steam创意工坊中的第三方内容并不像普通文件下载，许多游戏在加载地图或MOD时会通过附加的脚本、也就是批处理程序（.bat文件）来实现玩法，这就给恶意程序留下了可操作空间。

其实这已经不是Steam创意工坊第一次出事，就在一个月前，卡巴斯基的安全研究人员发现，有黑客将恶意程序伪装成热门软件壁纸引擎（Wallpaper Engine）的壁纸安装包。一旦用户启动受感染的壁纸，恶意程序便会在设备中植入一款属于暗彗星（DarkKomet）恶意软件家族的后门程序，同时静默安装篡改后的系统库文件，以盗取用户的Steam登录凭证、劫持账号在线会话。

从某种意义上来说，Steam创意工坊已经成为了黑客攻击的策源地。然而对于创意工坊被黑客利用，Valve方面可能既不想管，也管不了。

说管不了，是因为Valve没有足够的审核人员。知名科技媒体TheVerge此前曝光的一份法庭文件显示，Valve在2021年共有336名员工‌，其中游戏开发181人、Steam运营79人、硬件开发41人、行政35人。

不同于腾讯、微软、索尼、育碧、EA这样的游戏大厂，Valve在人数上可以说是名副其实的“小公司”。与之相对应的，是Steam仅2025年一年就发布了超过2万款游戏，所以即便想要进行预审，Valve也是心有余而力不足。再加上Valve恐怕也不愿意对第三方游戏的创意工坊内容，进行严格审查。

目前，Steam创意工坊实行"‌分类分级审核制‌"，《CS2》《DOTA2》等Valve自家游戏对‌首次发布者实行强制邮件验证叠加人工预审‌，第三方游戏则是发布即公开‌（事后监管）。这是因为Steam创意工坊是无数玩家自由创作的乐园，许多游戏也正是因为创意工坊里的有趣作品，才有了更多的玩法。

如今创意工坊已经是Steam核心竞争力的关键组成部分，也让Steam从一个“游戏商店”成为了充满活力的“游戏社区”，并赋予玩家定义和塑造游戏世界的权力。有了创意工坊，Steam里的玩家既是消费者、也是创造者，这就是该平台有别于Epic游戏商城等同类平台的市场竞争力所在。

玩家甚至可以通过捐赠、赞赏等外部支付方式来完成变现，真正实现通过游戏赚钱。不仅如此，创意工坊里的大量优质内容自然会提升游戏销量，所以游戏开发者也乐见玩家在创意工坊中创造出更多内容。

因此即便创意工坊存在被黑客搭便车的现象，Valve也不太可能升级审查力度。那么，大家应该如何避免被黑客从创意工坊攻击呢？答案其实很简单，那就是如果要下载创意工坊中的内容，选择已经被其他玩家下载过的热门选项即可。

毕竟现在的黑客一般是“图财”、而非“邀名”，他们奉行的往往是"悄悄的进村，打枪的不要"，基本不会进行大规模攻击。比如，这次《超级变色龙》的Laser Tag Neon、Chroma Grid Arena就都算不上热门内容。