2026年3月31日，恶意版本的JavaScript库Axios被发布到npm注册表，作为供应链攻击的一部分。受影响的版本包含隐藏的恶意依赖，可能导致开发环境暴露。虽然Azure Pipelines未受影响，但使用自托管代理或第三方扩展的用户需审查管道运行，清理依赖缓存，并更换相关凭证。建议使用锁定版本和确定性安装以降低未来风险。

Go语言面临供应链投毒风险，提案#76485建议引入依赖冷却期，通过设置GOCOOLDOWN自动屏蔽发布不满15天的包，以降低攻击风险。MVS和SumDB提供基础防护，但开发者需谨慎，避免引入恶意依赖。

软件供应链攻击通过恶意依赖成为现代软件开发的重要安全威胁。GitLab的漏洞研究团队开发了自动检测系统，能够识别恶意依赖并持续扫描新发布的依赖，提供早期警报。最近，GitLab发现并报告了一个伪装的MongoDB Go模块，显示了主动检测的重要性。