2025年9月，JavaScript生态系统遭遇名为“沙虫”的自复制蠕虫攻击，感染了477个npm软件包。攻击者通过钓鱼邮件获取维护者凭证，并利用AI编写恶意脚本自动传播。这一事件凸显了供应链安全的脆弱性，亟需根本性变革以应对新威胁。