በየሳምንቱየማልዌር ማወቂያ ስርዓቶቻችን እንደ npm እና PyPI ባሉ የህዝብ መዝገቦች ውስጥ በሺዎች የሚቆጠሩ አዳዲስ እና የተዘመኑ ፓኬጆችን ይቃኛሉ። ይህ ሳምንት ከዚህ የተለየ አልነበረም።
ከሰኔ 26 እስከ ጁላይ 3፣ 2026 ድረስ በnpm እና PyPI መካከል ከ90 በላይ ተንኮል አዘል ፓኬጆችን አረጋግጠናል፣ ከቀደሙት ሳምንታት ጀምሮ በርካታ ዘመቻዎች ቀጥለዋል፣ አዳዲሶቹም ብቅ ብለዋል።
የ nolimit-agent ዘመቻው አዳዲስ ስሪቶችን (1.0.306፣ 1.0.315፣ 1.0.316) ማተምን ቀጥሏል፣ ይህም በኛ ድረ-ገጽ ላይ በዝርዝር የሰፈርነውን የማይክሮሶፍት 365 የመሣሪያ-ኮድ ፊሺንግ ማዕቀፍን አስፋፍቷል። የDeviceDour ሪፖርት. የ anthropic-toolkit ክላስተር አዲሱ ዘመቻ ዋነኛ ዘመቻ ሲሆን፣ ሰኔ 30 ብቻ 20 ስሪቶች ተረጋግጠዋል - በቀጥታ ከአንትሮፒክ የገንቢ መሳሪያዎች ጋር የተያያዙ ፓኬጆችን ኢላማ አድርጓል። cursed-modules ቤተሰብ ከሐምሌ 1 እስከ ሐምሌ 2 ባሉት ጊዜያት ከ15 በላይ ቅጂዎችን በሁለቱም ላይ አሳትሟል standard እና የተጋነኑ የስሪት ቁጥሮች (999.x)፣ የጥገኝነት ግራ መጋባት መጫወቻ መጽሐፍን ተከትሎ። date-fns-lite ክላስተር (5 ስሪቶች፣ ጁላይ 2) ህጋዊ እና በስፋት ጥቅም ላይ የዋሉ የመገልገያ ፓኬጆችን የማስመሰል ዘዴን ቀጥሏል።
ባለፈው ሳምንት የተቋቋመው የAI መሳሪያ ኢላማ ንድፍ ከ ጋር ollama-helpers ና openai-agents-helpers በዚህ ዘመን ውስጥ ተዘርግቷል ai-explain, ai-sdk-helpers, እና @langgraphjs/toolkitሁሉም ከሰኔ 28 እስከ ሰኔ 30 መካከል ተረጋግጠዋል። @szc-ft/mcp-szcd-client ፓኬጅ (ስሪቶች 0.38.0 እና 0.39.0፣ የተረጋገጠው ጁላይ 2) እኛ እየተከታተልን ያለነውን አዲስ ንድፍ አስተዋውቋል። SkillLeak፦ በMCP ክህሎት ውስጥ የተደበቀ የምስክርነት ዲክሪፕት ከመጫኛ መንጠቆ ይልቅ፣ ከድህረ-መጫኛ በኋላ ለሚቆሙ ስካነሮች የማይታይ። ሙሉ የSkillLeak ትንተና እዚህ አለ.
ይህ ሳምንታዊ ቅጽበታዊ ገጽ እይታ የቀጣይ ስራችን አካል ነው የተንኮል አዘል ኮድ ዝርዝርአዳዲስ ስጋቶችን የምናረጋግጥበት እና የDevSecOps ቡድኖች ውጤቶቻቸውን እንዲጠብቁ የሚረዳ ተግባራዊ መረጃ የምናቀርብበት pipelineጉዳት ከመድረሱ በፊት። በዚህ ሳምንት ያገኘነውን እና ለምን አስፈላጊ እንደሆነ እንዘርዝር።
ከ90 በላይ ፓኬጆች። አንድ ሳምንት። Pipeline ኢላማው ነው።
የዚህ ሳምንት አጭር መግለጫ በአጥቂዎች ላይ ያለውን ትኩረት መለወጥን ያንፀባርቃል፣ ይህም የድምፅ መጠን ብቻ ሳይሆን ቅድመ-ዝግጅት ላይም ጭምርcision። ዘላቂ የሆነ የስሪት ጎርፍ፣ የAI መሳሪያ ክላስተሮች፣ የMCP-layer የምስክርነት ስርቆት እና በውስጣዊ ሞኖሬፖ የስም ክፍተቶች ላይ የጥገኝነት ግራ መጋባት ጥቃቶች። ዘመቻዎቹ በራስ-ሰር እና ቀጣይነት ያላቸው ናቸው። ሳምንታዊ ቅኝት መከላከያ አይደለም።
የXygeni የመጀመሪያ የማልዌር ማስጠንቀቂያ npm፣ PyPI እና ሌሎች መዝገቦችን በእውነተኛ ጊዜ ይከታተላል፣ በህትመት ጊዜ፣ ግንባታ ላይ ከመድረሳቸው በፊት፣ የAI ወኪል በራሱ ከመጫኑ በፊት እና የSkillLeak አይነት የክፍያ ጭነት የማስፈጸም እድል ከማግኘቱ በፊት ስጋቶችን ይጠቁማል። anthropic-toolkit በአንድ ቀን ውስጥ 20 ስሪቶችን ያትማል ወይም cursed-modules በሁለት ቀናት ውስጥ npm ን በስሪት 999.x አጥለቅልቋል፣ እውነታው ከተከሰተ በኋላ የሚሄድ ማወቂያ ቀድሞውኑ በጣም ዘግይቷል።
የዚጄኒ Open Source Security መድረክ የዴቭሴክኦፕስ ቡድኖችን ከተቀናጀ የአቅርቦት ሰንሰለት ግፊት ቀድመው ለመቆየት የሚያስፈልገውን በእውነተኛ ጊዜ ለይቶ ማወቅ እና ቅድሚያ መስጠትን ይሰጣል፣ ስለዚህ የእርስዎ pipelineቡድኖቻችሁን ሳታዘገዩ ንፁህ ሁኑ።
