Chak semèn, sistèm deteksyon malveyan nou yo eskane plizyè milye pakè nouvo ak pakè mete ajou atravè rejis piblik tankou npm ak PyPI. Semèn sa a pa t yon eksepsyon.
Nou konfime plis pase 90 pakè move ant 26 jen ak 3 jiyè 2026, atravè npm ak PyPI, ak plizyè kanpay ki kontinye depi semèn anvan yo epi lòt ki ap parèt.
The nolimit-agent kanpay la te kontinye pibliye nouvo vèsyon (1.0.306, 1.0.315, 1.0.316), pou pwolonje kad la pou èskrokri kòd aparèy Microsoft 365 nou te dokimante an detay nan Rapò DeviceDoor. anthropic-toolkit Gwoup la te nouvo kanpay dominan an, ak 20 vèsyon konfime nan dat 30 jen sèlman — ki te vize dirèkteman pakè ki asosye ak zouti devlopè Anthropic yo. cursed-modules fanmi an pibliye plis pase 15 vèsyon ant 1ye ak 2 jiyè atravè tou de standard ak nimewo vèsyon gonfle (999.x), swivan liv estrateji konfizyon depandans lan. date-fns-lite Gwoup la (5 vèsyon, 2 Jiyè) te kontinye modèl pou l te fè tèt li pase pou pakè sèvis piblik lejitim ki lajman itilize.
Modèl siblaj zouti IA a te etabli semèn pase a avèk ollama-helpers ta dwe apwouve bèso tibebe w la epi openai-agents-helpers pwolonje nan peryòd sa a ak ai-explain, ai-sdk-helpers, epi @langgraphjs/toolkit, tout konfime ant 28 jen ak 30 jen. La @szc-ft/mcp-szcd-client pake a (vèsyon 0.38.0 ak 0.39.0, konfime 2 Jiyè) te prezante yon nouvo modèl n ap swiv kòm SkillLeak: yon dekriptè kalifikasyon kache andedan yon konpetans MCP olye de yon zen enstalasyon, envizib pou eskanè ki kanpe nan postenstalasyon. Nou te pibliye yon analiz konplè SkillLeak la isit la.
Aperçu chak semèn sa a fè pati de pwogram kontinyèl nou an Dijesyon Kòd Malveyan, kote nou valide nouvo menas yo epi bay entèlijans aksyonab pou ede ekip DevSecOps yo pwoteje yo pipelineanvan domaj rive. Ann analize sa nou te jwenn semèn sa a ak poukisa li enpòtan.
Plis pase 90 pakè. Yon semèn. La Pipeline Se sib la.
Rezime semèn sa a reflete yon chanjman nan konsantrasyon atakan an, pa sèlman volim, men pre...cisyon. Inondasyon vèsyon kontinyèl, gwoup zouti IA, vòl kalifikasyon kouch MCP, ak atak konfizyon depandans kont espas non monorepo entèn yo. Kanpay yo otomatize epi kontinyèl. Yon eskan chak semèn se pa yon defans.
Avètisman bonè sou lojisyèl malveyan Xygeni siveye npm, PyPI, ak lòt rejis an tan reyèl, siyalize menas yo nan moman piblikasyon an, anvan yo rive nan yon build, anvan yon ajan IA enstale yo otonòmman, epi anvan yon payload style SkillLeak gen yon chans pou egzekite. Lè anthropic-toolkit pibliye 20 vèsyon nan yon sèl jou oubyen cursed-modules inonde npm ak vèsyon 999.x pandan de jou, deteksyon ki fonksyone apre reyalite a deja twò ta.
Xygeni a Open Source Security platfòm lan bay ekip DevSecOps yo deteksyon an tan reyèl ak priyorizasyon ki nesesè pou yo rete devan presyon kowòdone chèn ekipman an, kidonk ou pipelineRete pwòp san ralanti ekip ou yo.
