· adswds team · 安全
npm 可信发布 48 小时验证：仓库名回收漏洞之后，CI 要改什么
蓝点网报道：GitHub 为 npm Trusted Publishing 设置 48 小时内必须首次成功发布，阻断研究员发现的仓库名回收（SlugFest）风险；并拒绝 issue_comment 事件令牌。广告与落地前端的发布流水线应按此收紧。
安全
分类「安全」下的文章列表
· adswds team · 安全Midnight Mimosa：廉价安卓预装马成「住宅代理」后，广告流量该怎么看
蓝点网转述比特梵德报告：Midnight Mimosa 在廉价安卓固件预装，可弹广告、自动点击，并把设备注册为 TCP 中继（住宅代理）。对海外投放，这意味着部分「像真人」的出口本来就不干净——本文聚焦识别与收敛，而非攻击手法。
· adswds team · 安全OpenAI 欧盟文字盲水印 textGrain：广告文案与落地生成内容要注意什么
蓝点网报道：OpenAI 在欧盟为 ChatGPT / Codex 启用 textGrain 文本盲水印，检测器暂不对公众开放。对投放创意、落地文案与合规披露，这意味着「AI 生成痕迹」开始进入可机读层面——本文梳理机制边界与运营注意点。
· adswds team · 安全TeamPCP 供应链案续：谷歌卧底进核心群，受害方最先该轮换什么
蓝点网转述谷歌威胁情报：Mandiant 分析师潜伏 TeamPCP 核心群 CanisterWorm，提前协助吊销凭证并协助执法。对依赖 npm 与广告技术栈的团队，重点不在故事本身，而在凭证与发布通道的止血顺序。
· adswds team · 安全上百款恶意 Chrome 扩展同 C2：广告运营浏览器该做扩展审计
蓝点网转述 Socket：108 款恶意扩展窃谷歌账号信息、劫持 Telegram、后门或注广告，共用 C2。投放终端应对照清单收敛扩展。
· adswds team · 安全OpenClaw 也曾中 Axios 投毒：AI 机器人依赖树要当生产系统审计
蓝点网曾紧急提醒 OpenClaw 受 Axios 供应链影响。凡能读邮件/控浏览器的 Agent，其 npm 依赖与 CI 等同生产权限。