2026-05-12 16:23 UTC+8僅摘要更新: 2026-06-30 21:03 UTC+8

大規模NPM供應鏈攻擊波及TanStack、Mistral AI及170個軟體包

2026年5月12日，安全團隊SafeDep披露了一起針對npm和PyPI生態系統的供應鏈攻擊，超過170個軟體包被植入惡意程式碼，其中包括TanStack和Mistral AI的熱門庫。攻擊者透過篡改軟體包構建流程，植入依賴下載器並利用Session協議進行憑證竊取。此外，惡意載荷還包含IDE和AI代理投毒機制，能夠自我複製並自動提交惡意配置檔案到受害者的倉庫中，形成持續感染迴圈。

來源Hacker News AI作者: birdculture

回報錯誤

更正管道尚未開通，可先複製下方文章資訊留存。

查看更正說明

本文僅提供摘要

根據來源內容權限，本站僅提供編輯摘要、要點和原文連結。

展開要點與分析

文章情報

工程師中級

要點

攻擊波及TanStack、Mistral AI等170多個軟體包，透過篡改package.json和新增惡意指令碼來實現。
惡意載荷使用AES加密和Bun執行時執行，具備模組化憑證竊取框架，專門針對AWS、HashiCorp Vault、GitHub令牌等。
採用Session協議和Oxen網路進行資料外傳，具有動態節點路由，難以透過固定域名進行攔截。
攻擊者利用IDE配置檔案和GitHub GraphQL API自動提交惡意檔案到分支，使得開發者一旦拉取程式碼即被感染。

要點與分析由自動化流程生成，可能有誤，請結合原始來源核實。