npm 注册表遭蠕虫攻击，恶意包自更新并窃取凭证，已进化多代，最新变种利用合法签名管道绕过验证。攻击源于自动化发布和长期凭证，影响 npm 及 Terraform 等基础设施。防御需固定依赖版本、限制来源、使用短期凭证、控制网络出口，并视构建管道为关键基础设施。

过去一年，开源供应链攻击模式发生变化，攻击者通过窃取API密钥等秘密发布恶意包。GitHub建议启用CodeQL审查工作流，避免在pull_request_target上触发工作流，并使用OpenID Connect令牌进行授权，同时与OpenSSF合作支持可信发布。未来将加速提升GitHub Actions的安全能力，确保开源安全。

12月2日，crates.io团队接到Olivia Brown的通知，发现两个恶意包可能窃取加密货币。相关用户已被禁用，恶意包已删除，文件保留以供分析。感谢Olivia及其团队的支持。

2025年9月，攻击者通过钓鱼邮件入侵npm维护者账户，发布18个恶意npm包，影响超过20亿次下载，导致网站和应用程序面临加密资产被盗风险。Cloudflare Page Shield可检测并阻止此类攻击，保障用户安全。

近期，Node包管理器(npm)生态系统遭遇两次重大供应链攻击，影响数百个包，导致开发者面临凭证盗窃和数据泄露风险。攻击者利用AI工具发布恶意版本的Nx构建系统包，涉及超过400个用户和5500个仓库，凸显供应链安全的严重挑战。

2025年9月24日，crates.io团队发现两个恶意包faster_log和async_println，旨在窃取以太坊和Solana私钥。恶意代码已被删除，用户账户已禁用。感谢相关团队的报告与支持。

发现恶意npm包express-cookie-parser伪装成流行的cookie-parser。该包在使用时执行恶意代码，下载并运行startup.js，删除自身并修改index.js以掩盖痕迹。建议受影响用户移除该包并检查系统安全。

2025年2月，研究人员发现Go编程生态系统中存在重大供应链攻击。一恶意包假冒广泛使用的BoltDB模块，利用Go模块代理的缓存机制潜伏多年。开发者应仔细验证包名和来源，定期审计依赖项，以降低供应链攻击风险。

JFrog安全团队警告用户注意一个名为“ccxd python m-exe – futures”的恶意Python包，该包模仿流行的“ccxt”加密货币交易库，可能造成严重损害。攻击者通过拼写错误注册相似域名，诱骗用户访问假网站以窃取信息，主要针对开发者和加密交易者。JFrog提供工具帮助识别和过滤这些恶意包。

近期，针对Python开发者的供应链攻击增加，恶意PyPI包伪装成AI开发工具，传播JarkaStealer恶意软件。开发者应实施包验证和监控系统以降低风险，确保安全。

加利福尼亚州有超过16,000条断层，科学家预测未来30年内发生重大地震的概率超过95%。软件供应链安全也面临挑战，去年发现超过245,000个恶意开源包。为提高安全性，建议使用签名的容器镜像和最小化的依赖组件，以减少漏洞风险并确保软件来源可追溯。