2026-05-12 16:23 UTC+8仅摘要更新: 2026-06-30 21:03 UTC+8

大规模NPM供应链攻击波及TanStack、Mistral AI及170个软件包

2026年5月12日，安全团队SafeDep披露了一起针对npm和PyPI生态系统的供应链攻击，超过170个软件包被植入恶意代码，其中包括TanStack和Mistral AI的热门库。攻击者通过篡改软件包构建流程，植入依赖下载器并利用Session协议进行凭证窃取。此外，恶意载荷还包含IDE和AI代理投毒机制，能够自我复制并自动提交恶意配置文件到受害者的仓库中，形成持续感染循环。

来源Hacker News AI作者: birdculture

报告错误

纠错通道尚未开通，可先复制下方文章信息留存。

查看更正说明

本文仅提供摘要

根据来源内容权限，本站仅提供编辑摘要、要点和原文链接。

展开要点与分析

文章情报

工程师中级

要点

攻击波及TanStack、Mistral AI等170多个软件包，通过篡改package.json和添加恶意脚本来实现。
恶意载荷使用AES加密和Bun运行时执行，具备模块化凭证窃取框架，专门针对AWS、HashiCorp Vault、GitHub令牌等。
采用Session协议和Oxen网络进行数据外传，具有动态节点路由，难以通过固定域名进行拦截。
攻击者利用IDE配置文件和GitHub GraphQL API自动提交恶意文件到分支，使得开发者一旦拉取代码即被感染。

要点与分析由自动化流程生成，可能有误，请结合原始来源核实。