Matag semana, ang among mga sistema sa pag-detect sa malware nag-scan sa liboan ka bag-o ug gi-update nga mga pakete sa mga pampublikong rehistro sama sa npm ug PyPI. Kini nga semana dili eksepsiyon.
Among gikumpirma ang kapin sa 90 ka malisyosong pakete tali sa Hunyo 26 ug Hulyo 3, 2026, sa tibuok npm ug PyPI, uban ang pipila ka mga kampanya nga nagpadayon gikan sa miaging mga semana ug mga bag-o nga mitumaw.
ang nolimit-agent Ang kampanya nagpadayon sa pagmantala sa mga bag-ong bersyon (1.0.306, 1.0.315, 1.0.316), nga nagpalapad sa Microsoft 365 device-code phishing framework nga among gidokumento sa detalye sa among Report sa DeviceDoor. ang anthropic-toolkit ang cluster mao ang dominanteng bag-ong kampanya, nga adunay 20 ka bersyon nga gikumpirma niadtong Hunyo 30 lamang — direktang nagtumong sa mga pakete nga nalangkit sa mga himan sa developer sa Anthropic. Ang cursed-modules ang pamilya nagpatik ug kapin sa 15 ka bersyon tali sa Hulyo 1 ug Hulyo 2 sa duha standard ug gipaburot nga mga numero sa bersyon (999.x), nga nagsunod sa playbook sa kalibog sa dependency. Ang date-fns-lite Ang cluster (5 ka bersyon, Hulyo 2) nagpadayon sa sumbanan sa pagpakaaron-ingnon nga lehitimo, kaylap nga gigamit nga mga pakete sa utility.
Ang sumbanan sa pag-target sa AI tooling nga natukod sa miaging semana uban sa ollama-helpers ug openai-agents-helpers gipalugway niining panahona uban sa ai-explain, ai-sdk-helpers, Ug @langgraphjs/toolkit, tanan gikumpirma tali sa Hunyo 28 ug Hunyo 30. Ang @szc-ft/mcp-szcd-client Ang pakete (mga bersyon 0.38.0 ug 0.39.0, gikumpirma niadtong Hulyo 2) nagpaila sa usa ka bag-ong sumbanan nga among gisubay isip SkillLeak: usa ka credential decryptor nga natago sulod sa usa ka MCP skill imbes nga usa ka install hook, dili makita sa mga scanner nga mohunong sa postinstall. Nagmantala kami og usa ka kompletong pagtuki sa SkillLeak dinhi.
Kining senemanang snapshot kabahin sa among padayon nga Digest sa Malisyosong Kodigo, diin among gi-validate ang mga bag-ong hulga ug naghatag og aksyonable nga intelligence aron matabangan ang mga DevSecOps team nga mapanalipdan ang ilang pipelinesa dili pa mahitabo ang kadaot. Atong hisgutan kung unsa ang atong nakit-an karong semanaha ug nganong kini importante.
90+ ka Pakete. Usa ka Semana. Ang Pipeline Mao ang Target.
Ang digest karong semanaha nagpakita sa pagbag-o sa pokus sa tig-atake, dili lang sa gidaghanon, apan sa precision. Padayon nga pagbaha sa bersyon, mga cluster sa AI tooling, pagpangawat sa kredensyal sa MCP-layer, ug mga pag-atake sa kalibog sa dependency batok sa mga internal nga namespace sa monorepo. Ang mga kampanya awtomatiko ug padayon. Ang sinemanang pag-scan dili usa ka depensa.
Pasidaan sa Sayo nga Malware sa Xygeni nagmonitor sa npm, PyPI, ug uban pang mga registry sa tinuod nga oras, nag-flag sa mga hulga sa panahon sa pagmantala, sa dili pa kini makaabot sa usa ka build, sa dili pa kini i-install sa usa ka AI agent nga awtomatiko, ug sa dili pa ang usa ka SkillLeak-style payload adunay higayon nga mo-execute. Kanus-a anthropic-toolkit mopatik og 20 ka bersyon sa usa lang ka adlaw o cursed-modules nagbaha sa npm gamit ang bersyon 999.x sulod sa duha ka adlaw, ang pag-ila nga modagan human sa kamatuoran ulahi na kaayo.
Xygeni's Open Source Security ang plataporma naghatag sa mga DevSecOps team sa real-time nga pag-ila ug pag-prioritize nga gikinahanglan aron magpabiling una sa koordinado nga presyur sa supply chain, aron ang imong pipelinemagpabiling limpyo nga dili makapahinay sa imong mga team.
