标签 #npm

2026-05-15 · Paul Lukic

TanStack npm 投毒事件：为什么每个 AI 编程代理都需要审计日志

2026 年 5 月 11 日，42 个 @tanstack/* 包的 84 个恶意版本上架 npm，开始窃取 AWS、GCP、Kubernetes、Vault、GitHub 和 SSH 凭证。如果你的 AI 编程代理在那段时间内跑过 npm install，你可能永远不会知道。所以代理命令日志现在已经不是选项。