Shai-Hulud 恶意载荷休眠 111 天后复活，绕过 npm 发布时扫描
jedisct1 · x · 2026-09-07
安全研究员 Charlie Eriksen 发现，5 月攻击 @AntV 的 Shai-Hulud 恶意载荷以完全相同的文件哈希重新出现在 npm 上，距上次活跃已 111 天——这是该蠕虫迄今最长的休眠后复活间隔。
关键事实：
- npm 此前已上线发布时恶意软件扫描，但这条早已被各方指纹识别的载荷仍顺利通过
- 9 月 7 日同一账号在一小时内发布了 4 个带毒包：[email protected]、[email protected]、[email protected]、[email protected]
- 检测记录显示历史上有 319 个包版本携带同一哈希
作者称之为「僵尸载荷」：数月沉寂后突然复活，提示 npm 发布时扫描对已知指纹的拦截并不可靠，供应链攻击者可长期潜伏后二次激活。
「编程与Agent」频道最新
- 生产级 AI Agent 常规评测 95% 稳健，遭定向攻击后跌至 37% — njyx · 2026-10-27
- Grok Bot 分析 AI 评论、Codex 开浏览器批量拉黑，两 agent 接力工作流 — vista8 · 2026-10-27
- huggingface_hub 2.3.0 发布：百万文件列取从分钟级降到 20 秒 — lhoestq · 2026-10-27
- Nous Research 发布 Advanced Delegation 插件，子智能体可按任务选模型 — NousResearch · 2026-10-27
- 不上 X 的牙医邻居玩转 Codex，编程门槛正在消失 — gabrielchua · 2026-10-27
- 斯坦福 PaperFormalizer：把论文自动转成 Lean 验证版本 — StanfordUniversity · 2026-10-27