Apa yang berlaku
Pada 8 Oktober 2026, jam 01:12 UTC, versi 0.5.144 pakej npm tensorlake, SDK untuk platform sandbox tanpa pelayan bagi ejen AI, diterbitkan dengan cecacing keluarga Shai-Hulud yang mencuri kelayakan. Pakej ini mendapat kira-kira 12,000 hingga 18,000 muat turun mingguan. Versi itu tersedia selama kira-kira 1 jam 40 minit, menurut nasihat penyelenggara, yang berkata telemetri tidak menunjukkan penggunaannya. Socket mengesan versi berniat jahat itu 11 minit selepas diterbitkan.
Pakej Tensorlake di PyPI dan Cargo tidak terjejas, menurut analisis yang diterbitkan.
Bagaimana mereka masuk
Serangan tidak bermula di npm tetapi di GitHub:
- Pada 7 Oktober, penyerang menolak commit terus ke cabang main tensorlakeai/tensorlake melalui antara muka web, menggunakan akaun pentadbir seorang penyelenggara, tanpa pull request.
- Lapan commit melaraskan muatan dan menambah cangkuk preinstall pada package.json.
- Kira-kira 20 jam kemudian, akaun yang sama mencetuskan secara manual aliran kerja penerbitan rasmi.
Hasilnya: pakej dihantar dengan pengesahan asal (provenance) yang sah. Seperti dinyatakan StepSecurity, pengesahan itu memberitahu di mana pakej dibina, bukan bahawa kodnya selamat.
Apa yang dilakukan perisian hasad
- Cangkuk preinstall menjalankan pemuat yang dikaburkan yang memuat turun runtime Bun dan melaksanakan muatan 856 KB.
- Ia mencuri token npm dan GitHub, kelayakan awan, Kubernetes dan Vault, serta fail konfigurasi alat pengekodan AI.
- Ia cuba merebak: menerbitkan semula pakej lain pengguna dan membuat commit fail .claude dan .vscode ke repositori mereka, dengan pengarang palsu "claude@users.noreply.github.com" dan mesej "chore: update dependencies".
- Token tebusan: ia memasang pemantau yang menyemak token GitHub yang dicuri setiap 60 saat selama sehingga 24 jam. Jika token dibatalkan, ia memadam direktori home (rm -rf ~/ pada Linux dan macOS). Penyelidik tidak sependapat tentang bila tepatnya perangkap itu aktif.
Corak dua fail (setup.mjs dan Math_Symbol.js) sepadan dengan serangan Ogos ke atas pakej keyv dan cacheable, yang dibina atas kod "mini Shai-Hulud" yang dikeluarkan kumpulan TeamPCP. Tiada bukti ia kumpulan yang sama.
Apa perlu dibuat jika anda memasangnya
- Sebelum membatalkan token, asingkan mesin dan hentikan proses pemantauan, supaya anda tidak kehilangan direktori home.
- Anggap setiap kelayakan pada mesin telah terjejas: npm, GitHub, awan dan konfigurasi ejen AI. Kemudian tukar semuanya.
- Cari commit "chore: update dependencies" daripada pengarang pelik dan aliran kerja baharu dalam repositori anda.
- Semak versi pakej anda sendiri yang diterbitkan baru-baru ini.
Pengajaran
- Wajibkan semakan untuk setiap push ke main, termasuk daripada pentadbir.
- Gunakan kunci perkakasan (FIDO2) pada akaun penyelenggara.
- Amalkan tempoh bertenang (cooldown) sebelum memasang versi yang baru diterbitkan, dan lumpuhkan skrip pemasangan jika boleh.
- Alat pengekodan AI kini menjadi sasaran: konfigurasinya menyimpan kunci yang bernilai.
Sumber
- Nasihat keselamatan Tensorlake (GHSA-8g63-53c9-65j2): https://github.com/tensorlakeai/tensorlake/security/advisories/GHSA-8g63-53c9-65j2
- Socket: https://www.socket.dev/blog/tensorlake-compromise
- StepSecurity: https://www.stepsecurity.io/blog/tensorlake-npm-compromised-hostage-token-worm
- Aikido: https://www.aikido.dev/blog/tensorlake-npm-package-compromised
Mahu melindungi rantaian bekalan perisian dan saluran paip anda? KGA IT menawarkan konsultasi percuma: kga-it.com.