扫出 71.7 GiB 开发缓存,你的 AI agent 工具藏着 264 个带漏洞的包
julsimon · x · 2026-09-27
作者发布了缓存审计工具 Cache Commander 0.4.3,新增对 Hugging Face 新缓存格式的支持并修复安全问题。
他在自己 Mac 上完整扫描发现 71.7 GiB 开发者缓存,其中 264 个缓存的包存在已知安全通告。新 HF 缓存格式把大文件集中存放并在各仓库间链接,导致旧版扫描漏掉 1.5 GiB——模型文件夹看起来是空的。
最严重的是 npx 缓存:一个 2025 年 9 月的 MCP filesystem server 带 22 个有漏洞的依赖,还有 8 个不同版本的 chrome-devtools-mcp(1.0.1 到 1.6.0,最新为 1.10.1)。作者的核心观点是:AI agent 的工具都躺在一个几乎没人审计的缓存里。Mac/Linux 可通过 brew 安装 juliensimon/tap/ccmd。
所属事件:缓存审计工具 Cache Commander 0.4.3 发布，扫出大量带漏洞开发缓存(3 条相关)→
「Infra」频道最新
- 托管推理三大迷思:单价不是账单、端点不可互换、自建未必省 — TangeloOk9486 · 2026-09-27
- Salesforce 提出随机驱逐 KV Cache,不挑不拣反而不输精挑细选 — jiqizhixin · 2026-09-27
- 4GB 显存笔记本靠 SSD 流式跑 35B 模型，反超 GPT-OSS 20B — ImBadGuyInEveryStory · 2026-09-27
- 自研 CUDA kernel 拿下 B200 最快 QR 分解，作者复盘串行依赖破解思路 — A_K_Nain · 2026-09-27
- TensorSharp 开源框架支持单请求混合文档/图像/视频/音频证据 — fuzhongkai · 2026-09-27
- 智库学者反数据中心抗议者现场交锋，为算力建设辩护 — neil_chilson · 2026-09-27