Vercel 构建时自动拦截已知恶意 npm 包
Vercel 现在会在构建时自动拦住被劫持的 npm 包，安装脚本还没跑就被挡下，你的密钥不会外泄，啥都不用配。
#供应链安全
共 8 条 · 7 天 0 条 · 30 天 2 条
信息流里打上「供应链安全」标签的资讯、产品与论文，按刊登时间排，新的在上。
11月3日
10月31日
Cursor 市场分发的 Claude Code 扩展被植入 SSH 后门
用 Cursor 的朋友注意了：市场里的 Claude Code 扩展被塞了 SSH 后门，2.1.312 和 2.1.313 版本中招，光升级还不算完，得手动清理残留。
SuperTechFans原文
8月8日
TruffleSec CEO谈Hugging Face凭证泄露：25万密钥暴露
Dylan Ayrey亲口讲Hugging Face那次泄露有多吓人，25万把有效密钥里还有能改Linux库的，赶紧检查自己有没有把密钥挂网上。
7月29日
打击npm和GitHub Actions的供应链攻击
GitHub最近加强了npm和GitHub Actions的安全，防止供应链攻击，赶紧看看怎么保护你的项目吧。
7月24日
Dependabot默认等待3天再发布版本更新
Dependabot加了个3天冷静期，避免你自动合并有问题的依赖更新，更安全了。
7月23日
6月28日
OpenClaw官方市场发现23个冒名技能，伪装成第一方出品
OpenClaw市场23个伪装官方技能的插件被揪出来了，Manifold Security发现的命名空间抢注漏洞，ClawHub已经修复，小心供应链投毒。
IT之家原文
6月27日
CVE-2026-LGTM事件：两个AI审查代理争论340回合花光4万美元
Andrew Nesbitt虚构了一个AI安全事件：两个审查代理死循环争论，烧掉4万多美元推理费，还给股价整涨了6%。讽刺又真实。