“不要随便从网上抓取东西”：Chainguard在52000个开源包中发现了什么

要点

• Chainguard定义“灰色软件”为功能透明但包含未经授权的有害行为（如导出访问令牌）的开源包。
• 新扫描器已分析超过10万个包，阻止了52000多个恶意或灰色包。
• 代理开发使非技术人员更容易引入灰色软件，因为AI代理自动拉取依赖，缺乏人工审查。
• 扫描器在包进入库前进行分析，而不是在开发者请求时，以避免暴露窗口。