Damn！所有AI开发者，立刻停下你手里的npm install🤯

现在正在爆发有史以来最恐怖的供应链攻击，

代号Mini Shai-Hulud，

已经波及TanStack全家桶、Mistral AI、UiPath等170多个npm和PyPI包，

全是你们天天装的工具链，

周下载量加起来超过一个亿，

已经不是传统的维护者账号被盗了，

而是整个GitHub Actions CI管道被直接劫持，

合法的官方项目，自己发布了带毒的版本，

还带完整的SLSA 3级可信证明，

所有传统的签名验证全失效，

最狠的是它的持久化机制，

它不会只藏在node_modules里，

它会直接修改你的~/.claude/settings.json和~/.vscode/tasks.json，

就算你npm uninstall删光所有包，

只要你下次打开Claude或者VS Code，

它就会自动重新执行，

如果你敢撤销被盗的token，

它会直接删光你整个home目录，

而且它是蠕虫，

偷到一个项目的CI密钥，就会自动感染下一个，

现在还在指数级扩散，

以前我们说别用latest，别用^，

现在就算你pin死了版本，

只要那个版本是6分钟窗口期内发布的，

就是带毒的，

越依赖AI Agent自动装包的人，

这次中招的概率越高，

因为你的Agent根本不会帮你检查lockfile，

现在立刻做这三件事，

第一，冻结所有包安装，

第二，跑npx supply-chain-attack全盘自查，

第三，全量旋转你所有的云密钥、GitHub token和SSH key，

一个都别漏。

#网络安全 #npm #AI开发者