供应链攻击已成为当前软件安全领域最严峻的威胁之一，攻击者通过污染开源组件、代码仓库或开发工具，向广泛依赖这些资源的应用植入恶意代码。近期多个事件显示，npm 生态和大型科技公司成为重灾区。
主要进展
node-ipc（窃取密码）、echarts-for-react 和 AntV 的依赖项，以及 Red Hat 旗下的 30 余个包被植入 Miasma 后门，旨在窃取密钥。(npm 热门包 node-ipc 被投毒，可窃取密码等敏感信息；npm 遭供应链投毒攻击，影响 echarts-for-react、AntV 等热门项目；Red Hat 超 30 个 npm 包被植入 Miasma，窃取密钥)当前焦点 / 未来观察点
核心争议在于开源生态的信任模型：项目维护者权责不对等、依赖关系复杂、自动化发布流程缺乏审核，使得攻击者可低成本投毒。未来关注点包括：包管理器内置的签名与校验机制、基于行为分析的实时防火墙（如 Package Firewall）、以及如何利用 AI 检测而非生成恶意包。同时，大型企业（如 OpenAI）对第三方组件的响应速度，可能成为行业标杆。