09:17IT之家(博客/媒体)Red Hat 旗下 @redhat-cloud-services 命名空间超过 30 个 npm 包遭供应链攻击,被植入名为 Miasma 的恶意代码。这些包每周下载约 117000 次,攻击目标包括开发者凭据、云密钥、SSH 密钥和 CI/CD Token。攻击者通过入侵 Red Hat 员工的 GitHub 账户,向仓库推送恶意提交,利用 GitHub Actions 工作流发布带后门的版本。Red Hat 已移除受影响包并启动调查,称恶意代码未影响客户系统。安装过受影响版本的组织应立即轮换相关凭据和密钥。行业供应链攻击npmRed Hat密钥窃取安全事件推荐理由:npm 供应链攻击再次升级,Red Hat 官方包也未能幸免——使用 @redhat-cloud-services 的开发者应立即检查版本并轮换密钥,避免凭据泄露风险。原文
14:37IT之家(博客/媒体)83°国家网络安全通报中心预警,npm 平台遭“沙虫”供应链投毒攻击,攻击者攻陷官方维护者账户,批量投放 600 余个恶意版本,涉及 300 余个独立程序包。恶意代码在安装后自动窃取 GitHub Token、云密钥、SSH 私钥等敏感信息,并具备蠕虫式自我复制能力,可篡改并二次发布受害者名下的其他包。受影响项目包括 echarts-for-react、@antv 系列核心库、TanStack 系列 42 个包、Mistral AI 相关 PyPI 包等。前端开发者、AI/ML 开发者、开源维护者及企业研发人员均面临风险,建议立即隔离设备、排查依赖、更换凭证。行业npm供应链攻击安全预警前端开发开源项目推荐理由:npm 生态这次被大规模投毒,波及面极广,前端和 AI 开发者如果近期安装过依赖,建议立即排查——恶意代码能自动窃取云密钥和 GitHub Token,还会横向传播到其他包,不处理可能影响整个开发环境。原文
10:38Ate-a-Pi@svpino精选开发者 Santiago 分享了一个名为 llm-checker 的 npm 工具,可以自动检测电脑硬件并推荐适合本地运行的 AI 模型。用户只需安装后运行 hw-detect 命令,再通过 recommend 命令指定类别(如 coding)即可获得推荐。该工具解决了本地部署模型时硬件兼容性不明确的痛点,让开发者快速找到适合自己设备的模型。AI产品llm-checker本地模型硬件检测推荐工具npm推荐理由:本地跑模型最烦的就是不知道哪款能跑得动——llm-checker 直接帮你检测硬件并推荐,省去试错时间。做本地 AI 开发或想玩开源模型的建议装一个试试。原文
11:45IT之家(博客/媒体)72°npm 热门包 node-ipc 遭遇供应链攻击,多个新版本被植入信息窃取恶意代码。该包每周下载量超 69 万次,影响广泛。恶意代码藏在 CommonJS 入口文件中,可自动执行,窃取云凭证、SSH 密钥、Token 等敏感信息。攻击者利用 DNS TXT 查询外传数据,增加排查难度。建议开发者立即检查并避免使用恶意版本。行业供应链攻击npmnode-ipc信息窃取安全推荐理由:node-ipc 是大量 Node.js 项目的依赖,这次投毒直接威胁开发机、CI 环境和服务器,使用 npm 的团队务必立即排查并升级。原文
15:39IT之家(博客/媒体)OpenAI 于 5 月 14 日回应开源库 TanStack npm 遭供应链攻击事件,称未发现用户数据泄露。攻击仅影响公司内两台员工设备,少量凭证被窃取,生产系统、知识产权和软件未受影响。OpenAI 已隔离受影响系统并限制代码部署,同时轮换代码签名证书,要求 macOS 用户更新应用。行业供应链攻击安全事件OpenAITanStacknpm1 个信源在谈推荐理由:供应链攻击是 AI 团队和开发者面临的新威胁,OpenAI 的快速响应和透明披露值得关注,做安全或依赖开源库的团队可以学习其应对流程。原文