Socket 資安研究指，AI 代理基建平台 Tensorlake 的 npm SDK 於二〇二六年十月八日發布的 0.5.144 版遭 ChainDrop／Shai-Hulud 供應鏈蠕蟲挾持：惡意套件以安裝前腳本在開發者本機或建置伺服器執行，可在程式進入 Tensorlake 沙箱之前竊取雲端與開發憑證。Socke...
CrowdStrike Counter Adversary Operations 公開分析顯示，有財務動機的威脅行為者以「漏洞賞金獵人」自居，經 npm 散布名為 PhantomRaven 的 JavaScript 資訊竊取器：以錯字仿冒套件與遠端動態依賴（RDD）在安裝時拉回惡意碼，再以 preinstall 腳本自...
資安公司 Aikido 發現，用嚟由 OpenAPI 產生 TanStack Query hooks 嘅 npm 套件 @7nohe/openapi-react-query-codegen，喺約 20 分鐘內被發布 10 個惡意版本，每週下載量超過 15 萬次。惡意程式自稱「Trinitite: Sponsored b...
