标签：NPM

蓝点网报道：GitHub 为 npm Trusted Publishing 设置 48 小时内必须首次成功发布，阻断研究员发现的仓库名回收（SlugFest）风险；并拒绝 issue_comment 事件令牌。广告与落地前端的发布流水线应按此收紧。

蓝点网转述谷歌威胁情报：Mandiant 分析师潜伏 TeamPCP 核心群 CanisterWorm，提前协助吊销凭证并协助执法。对依赖 npm 与广告技术栈的团队，重点不在故事本身，而在凭证与发布通道的止血顺序。

蓝点网：澳洲警方联合 FBI 逮捕 TeamPCP 两名核心成员（迷你沙虫）。蠕虫曾开源，执法预计同类攻击仍持续。广告前端应继续钉版本与令牌轮换。

蓝点网：@bitwarden/cli@2026.4.0 恶意包存活约 1 小时 33 分，东八区窗口 4/23 05:57–07:30。生产库声称未失陷，但窗口期安装者须轮换环境内全部机密。

蓝点网跟进：Axios 维护者遭针对性社工与 RAT，NPM 凭据被改邮箱后发布恶意版本。手法与谷歌披露的 UNC1069 模式相近——专业开发者也会中招。

2025年11月24日，HelixGuard 发现超过1000个 NPM 包被通过伪 Bun 运行时的方式投毒，该恶意软件使用 TruffleHog 窃取 NPM Tokens、云平台凭证及环境变量，随后通过 GitHub Actions 从事数据窃取活动，影响超过27000个 GitHub 仓库。