2026-05-12 16:23 UTC+8僅摘要更新: 2026-06-30 21:03 UTC+8

大規模NPM供應鏈攻擊波及TanStack、Mistral AI及170個軟件包

2026年5月12日，安全團隊SafeDep披露了一起針對npm和PyPI生態系統的供應鏈攻擊，超過170個軟件包被植入惡意代碼，其中包括TanStack和Mistral AI的熱門庫。攻擊者通過篡改軟件包構建流程，植入依賴下載器並利用Session協議進行憑證竊取。此外，惡意載荷還包含IDE和AI代理投毒機制，能夠自我複製並自動提交惡意配置文件到受害者的倉庫中，形成持續感染循環。

來源Hacker News AI作者: birdculture

報告錯誤

更正渠道尚未開通，可先複製下方文章資訊留存。

查看更正說明

本文僅提供摘要

根據來源內容權限，本站僅提供編輯摘要、要點和原文連結。

展開要點與分析

文章情報

工程師中級

要點

攻擊波及TanStack、Mistral AI等170多個軟件包，通過篡改package.json和添加惡意腳本來實現。
惡意載荷使用AES加密和Bun運行時執行，具備模塊化憑證竊取框架，專門針對AWS、HashiCorp Vault、GitHub令牌等。
採用Session協議和Oxen網絡進行數據外傳，具有動態節點路由，難以通過固定域名進行攔截。
攻擊者利用IDE配置文件和GitHub GraphQL API自動提交惡意文件到分支，使得開發者一旦拉取代碼即被感染。

要點與分析由自動化流程生成，可能有誤，請結合原始來源核實。