热门 Go 库 fsnotify 因维护者权限变更引发供应链安全警报

Lobsters Hottest 2026/05/12 03:49 新闻

supply-chain-security go open-source vulnerability maintainer-access

摘要

热门 Go 库 fsnotify 在维护者访问权限发生变更后引发了供应链安全担忧。

查看原文

相似文章

Hacker News Top

讽刺文章指出npm注册表中反复出现的供应链攻击，与Go和Rust等更安全的生态系统形成对比，并嘲笑JavaScript社区对这种漏洞的接受态度。

X AI KOLs Following

一则关于通过 npm 和 PyPI 针对 AI 开发者工具（Hermes、OpenClaw）的供应链攻击的公开提醒，特别是名为“Mini-Shai Hulud”的蠕虫病毒，它能自我复制并窃取凭据、API 密钥和浏览器会话。文章建议使用沙盒执行并限制软件包年龄以降低风险。

X AI KOLs Following

一次高危供应链攻击影响了 42 个 TanStack npm 包，导致云凭证和 SSH 密钥被窃取。建议用户在攻击时间窗口内安装过相关包的，立即轮换凭证并从干净的 lockfile 重新安装。

Reddit r/AI_Agents

文章警告称，MCP生态正在重演npm、Docker和PyPI中出现的供应链安全模式——审核极少，风险日益增长。文章指出，对500个Smithery服务器的扫描发现18.8%存在安全问题，现有安全工具无法处理恶意智能体指令，并介绍了一个名为bawbel的新型静态扫描器。

Lobsters Hottest

本文详细复盘了针对 TanStack npm 包的供应链攻击事件，涉及缓存投毒、OIDC 令牌提取及凭证窃取恶意软件。所有受影响版本均已弃用；建议用户轮换凭证。