People Playground отключил C# моды. Valve стёрла Workshop после вируса в Steam

21 сентября 2026 года между 18:00 и 20:00 по центральноевропейскому времени достаточно было запустить People Playground с подпиской на заражённый аддон. Мод сам обновлялся через Steam Workshop, компилировался как обычный C# код и начинал чистить файлы, портить облако других игр и выкладывать в мастерскую чужие данные. Разработчик mestiez (Studio Minus) на следующий день выключил Workshop целиком. Позже Valve удалила все предметы с C# кодом. Это второй такой удар по той же игре за 2026 год.

People Playground - не нишевый эксперимент. Это песочница, где ragdoll-человечков режут, жгут и собирают из них машины. На Steam у неё сотни тысяч отзывов и оценка около 98%. Моды здесь не косметика: без них игру быстро «проходят». Именно поэтому мастерская стала идеальным инкубатором.

Что сделал мод за два часа

В посте Bad event от 22 сентября mestiez написал прямо: «This one is especially bad». По его словам, программа безвозвратно затирала заметный объём личных файлов, портила конфиги Steam и Steam Cloud (инвентарь, воркшоп) у других установленных игр, читала Discord-ник и прочие идентификаторы и публиковала их в Workshop вместе с копией себя.

Сначала автор зачеркнул фразу, что пароли и токены не крадут, и попросил сменить Discord и «все важные аккаунты», чтобы обнулить сессии. В Incident recap от 24 сентября формулировка жёстче: выложенные данные «могли быть использованы, чтобы войти в Steam игрока». Реддит-разбор, который цитируют PC Gamer и Dexerto, добавляет ещё слой: захват Steam-аккаунта для самопубликации, порча файлов соседних игр и рассылка оскорблений друзьям в Steam. Это уже не «баг моддера». Это социальный взрыв на чужой репутации.

Почему C# в Unity здесь смертный приговор

Моды People Playground - исходники на C#, которые игра компилирует при запуске. Разработчик честно написал: настоящий песочный C# внутри Unity без нативной изоляции технически невозможен. Игра держалась на внутренних проверках «подозрительного» кода. Система не выдержала.

Саморазмножение работало просто. Вредонос встраивался в популярные аддоны. У подписчиков они автообновлялись. Запуск - компиляция - выполнение с правами обычного процесса. Дальше копия улетала в Workshop от имени жертвы. Чем больше у человека друзей и подписок, тем шире волна. Февральский инцидент 2026 года уже показал этот путь: тогда мод подменял чужие загрузки собой и сносил папку Contraptions. В сентябре тот же вектор, но с пакостями за пределами одной игры.

Что сделали Valve и студия

Valve снесла все воркшоп-айтемы с C# кодом, всё, где были чувствительные данные, и всё, что загрузили или обновили с 21 сентября. Разработчик заявил: C# моды официально больше не хостятся и не поддерживаются. На Discord студия сказала жёстче: мастерская вернётся, только если моды станут «фундаментально безопасны», и «этого может не случиться никогда». Вышел билд, который просто не грузит моды.

Игрокам, кто запускал игру 21-24 сентября, велели сменить пароль Steam, включить Steam Guard и проверить почту. Если письма от Valve/студии не было - с высокой вероятностью не попали. Игру объявили безопасной к запуску без модов. Это не «откат к ванили ради чистоты жанра». Это признание, что канал контента, на котором держится жизнь тайтла, стал каналом заражения.

Второй раз за год - уже не случайность

В феврале 2026 mestiez уже глушил Workshop после саморазмножающегося аддона. Тогда ущерб был в основном внутри PPG: сейвы, контрапшены, подмена загрузок автора. После патча 1.27.7 моды перестали автообновляться без ручного одобрения. Этого хватило на полгода. В сентябре обошли снова.

Параллельно в индустрии тот же Workshop уже светился в других историях: фишинговые «официальные» окна Steam в Escape From Duckov в начале сентября, заражённые карты, через которые ломали Discord. People Playground просто оказался идеальной мишенью: одиночный инди, огромная мастерская, код с полными правами, аудитория, которая ставит аддоны пачками, не читая changelog.

Кому это важно, даже если вы не кидаете ragdoll

Steam Workshop выглядит как витрина Valve. На деле модерация - зона ответственности разработчика конкретной игры. У инди нет армии ревьюеров. У игрока нет привычки проверять хеш мода. Автообновление - удобство и одновременно червоточина: вы подписались на пушку год назад, а сегодня она тянет чужой исходник.

Практический вывод без геройства. Не запускайте игру, пока студия не сказала «можно», если мастерскую внезапно выключили. Снесите локальную папку mods и кэш workshop\content\[appid]. Смените пароль Steam и включите Guard, даже если «вроде не крали». Не ставьте моды с внезапным всплеском лайков за сутки. Если друг внезапно прислал в Steam помойку - это может быть не он, а его скомпилированный аддон.

Что останется от моддинга PPG

Без C# песочница теряет главную игру: самодельные пушки, ИИ-поведения, новые сущности. Разработчик намекает на Lua как более узкий и контролируемый слой. Это медленнее и беднее. Зато Lua проще ограничить. Комьюнити, которое годами строило «нечестивое оружие», получит развилку: либо урезанный скриптовый язык, либо пиратские сторонние лоадеры, которые Valve как раз и не контролирует.

Ирония в том, что People Playground продаёт свободу ломать виртуальных людей. Сломали мастерскую настоящие скрипты. Игра про насилие над манекенами второй раз за год показала, что насилие над чужим ПК в Steam стоит дешевле, чем один нормальный песочный рантайм.

Как не стать следующей волной

Если вы держите кучу Unity-игр с воркшопом, считайте любой C#-мод программой с вашими правами. Смотрите дату последнего апдейта популярного аддона. Держите отдельный Steam-аккаунт без привязанной карты для «грязных» песочниц. Бэкапьте сейвы не в Cloud той же учётки. И если студия пишет «especially bad» - не спорьте в комментариях, что «у меня ничего не случилось». Окно было два часа. Кому-то хватило.

People Playground можно снова запускать. Мастерскую в прежнем виде - уже нет. Для широкой аудитории это не новость про «ещё один вирус». Это новость про то, что бесплатный контент в самой большой игровой витрине мира по-прежнему исполняется как доверенный код на домашнем ПК.

Источники

People Playground - Bad event (Steam), Incident recap (Steam), PC Gamer, Dexerto, Rock Paper Shotgun.