事件观察中
Tensorlake npm 包被投毒植入窃密蠕虫
先了解这件事
AI 综述
Tensorlake 的 TypeScript SDK npm 包 tensorlake 遭 ChainDrop / Shai-Hulud 供应链攻击，恶意版本 0.5.144 已被下架。该版本通过 preinstall 钩子启动混淆加载器，在 Bun 运行时执行窃密与自我传播蠕虫，收集本地文件、CI 环境、Kubernetes 和 Vault 中的凭据，并投放 HackBrowserData 二进制、外传数据、在主机上建立持久化。
AI 根据报道生成 · 3 天前更新
后续时间线
10月10日
- 公众号Doonsec· 讨论AI投毒情报 | 智能体沙箱 SDK Tensorlake 遭受窃密蠕虫投毒（新标签页打开原帖）
10月9日
10月8日
- The Hacker NewsTensorlake npm 包被植入 Shai-Hulud 窃密蠕虫
Tensorlake 的 TypeScript SDK npm 包 tensorlake 遭 ChainDrop / Shai-Hulud 供应链攻击，恶意版本 0.5.144 已被下架。该版本通过 preinstall 钩子启动混淆加载器，在 Bun 运行时执行窃密与自我传播蠕虫，收集本地文件、CI 环境、Kubernetes 和 Vault 中的凭据，并投放 HackBrowserData 二进制、外传数据、在主机上建立持久化。被窃数据包括 npm 与 GitHub token、AWS 凭据、SSH 密钥、.env 文件、加密货币钱包，以及与 Anthropic Claude、Cursor、Kiro、Windsurf 和 Zed 相关的配置和 MCP 文件。建议已安装该版本的用户立即移除并轮换凭据。
相关讨论
共2条
- 公众号DoonsecAI投毒情报 | 智能体沙箱 SDK Tensorlake 遭受窃密蠕虫投毒（新标签页打开原帖）
- 72 小时以前 · 不计入 72 小时的数字
- 网页The RegisterShai-Hulud worm makes jump to AI infrastructure with Tensorlake compromise（新标签页打开原帖）
关注度走势
每天新增来源
- 10月8日新增1个来源（1家媒体、0个账号）
- 10月9日新增1个来源（1家媒体、0个账号）
- 10月10日新增1个来源（1家媒体、0个账号）
- 10月11日新增0个来源（0家媒体、0个账号）
- 10月12日新增0个来源（0家媒体、0个账号）