worm

攻击者入侵了 keyv 及相关 npm 缓存库维护者的 GitHub 账户，在多个每月合计安装量超过 20 亿次的包中植入了窃取凭据的蠕虫。

CrowdStrike发现了一种蠕虫病毒，它针对AI软件供应链，窃取凭证并执行破坏性操作，同时通过模仿合法AI编码活动来逃避检测。

今天全国都在应急响应，因为蚂蚁集团的开源前端库AntV遭到供应链攻击，被植入蠕虫病毒。用户需紧急排查和升级。

一则关于通过 npm 和 PyPI 针对 AI 开发者工具（Hermes、OpenClaw）的供应链攻击的公开提醒，特别是名为“Mini-Shai Hulud”的蠕虫病毒，它能自我复制并窃取凭据、API 密钥和浏览器会话。文章建议使用沙盒执行并限制软件包年龄以降低风险。