最近 npm 相关的投毒实在是太多了……
npm install -g socket
socket wrapper on
具体原理：
This topic created in 177 days ago, the information mentioned may be changed or developed.
 |
1
没想到，AI 大炼钢受害者是 npm
|
 |
2
那要是给 npm 上面的 socket 包投了毒呢，socket 是保护 npm 的，同时又使用 npm 下载，这个莫名戳中笑点
 |
3
 |
5
屎山裹小脚的即视感
|
 |
diudiuuMay 12
6
|
 |
7
最好的办法就是不要再 node 一把刷了，有了 AI ，该 IOS 就 swift ，Android 就 Java ，AI 就 Python 。
|
 |
BeiChuanAlexMay 12
8
@jaff #7 确实，跨平台技术一堆坑
|
 |
savingrunMay 12
9
现在 ai 时代代码产出太多太快了，看都看不过来了。
|
 |
AyanokoujiMay 12
13
@jaff web 端咋办
|
|
jaffMay 12
14
@Ayanokouji web 还是留给 Node ，至少会降低损失。
注意上面，我说的是： 不要 node 一把刷， [做正确的事选择正确的工具] ，而不是一把刷，比如上面有提到 C++的，又或者是手搓 node 代码的，不要从一个极端走向另一个。 总结： 做正确的事选择正确的工具。 |
 |
sleepmMay 12
15
https://aube.en.dev/security.html
最近看到的一个包管理 |
 |
TerranCMay 12
16
是不是 volta 也能用？
|
 |
mornlightMay 13
17
避免安装最新版本的包可以很大程度缓解投毒风险：
FYI, npm/bun/pnpm/uv now all support setting a minimum release age for packages. https://news.ycombinator.com/item?id=47513932 |
 |
cz5424May 13
18
出个馊主意：以毒攻毒，npm install 后让 claude 找一下 node_modules 有没有后门或者安全漏洞；后面把 node_modules 整个打包上线
|
 |
magicdawnMay 13
19
@jaff #7 Pypi 也有投毒啊...
之前的 litellm 这次 mistralai 2.4.6 https://socket.dev/blog/tanstack-npm-packages-compromised-mini-shai-hulud-supply-chain-attack |
 |
unregisterMay 13
20
为啥 v 站不出一个类似推特 @Grok 的功能,比如我不知道 Socket.dev 是什么 可以 @它一下 :)
|
 |
21
开始装上杀毒软件了，最近漏洞利用太多了
|
 |
gefangshuaiMay 13
22
正需要，感谢分享！
|
 |
shuniaMay 13
23
@unregister #19 你想让楼主破产
|
 |
HankAviatorMay 13
24
vibe 一把梭，agent 直接帮忙装环境了
codex：我管你这那的 😂 |
|
unregisterMay 13
25
@shunia 只有开会员的才能用 :doge
|
 |
wangwanerMay 14 via iPhone
26
@ 一下需要消耗一定量的铜币啥的…也是一项回收代币的好办法（不是还有 meme 币嘛现在都不提了）
|
 |
iqooMay 19
27
npm 刚出来没多久就想过。当时注册了一个山寨的 ugliy-js 结果有不少安装量，用来钓鱼很可观
|
Select Language