Xygeni illgjarn kóða samantekt 76

Í hverri viku, skannar spilliforritagreiningarkerfi okkar þúsundir nýrra og uppfærðra pakka í opinberum skrám eins og npm og PyPI. Þessi vika var engin undantekning.

Við staðfestum yfir 150 illgjarn pakka á milli 20. júní og 26. júní 2026, á npm, PyPI og (í fyrsta skipti í þessari viku) á VSCode viðbótarmarkaðnum.

Ríkjandi herferðin var panrouter, sem flæddi npm með yfir 30 útgáfum af 5.x og 6.x sviðinu á milli 20. júní og 22. júní, viðvarandi, sjálfvirk útgáfubylgja sem var hönnuð til að endast lengur en blokkunarlistar. trimprompt Herferðin hélt áfram frá síðustu viku og bætti við útgáfum 1.0.5 til 1.0.17. atlasora fjölskylda (sjö pakkar gefnir út samtímis 21. júní) og apintergrationpost (sjö útgáfur, 21.–22. júní) fylgdu sömu handbók um rugling í tengslum við ósjálfstæði gagnvart innri nafnrýmum eingeymslustaða.

Áberandi mynstur þessarar viku var einbeiting árása á Gervigreindarverkfæri. Í ollama-helpers og openai-agents-helpers Samanlagt voru klasar fyrir yfir 35 útgáfur staðfestar 24.–25. júní og miðuðu beint á pakka sem notaðir eru í verkflæðum fyrir umboðsmenn. monoclaude, ai-sdk-helpersog @langgraphjs/toolkit hélt sama mynstri áfram. Þegar gervigreindarforrit setur upp skaðlegt pakka sjálfkrafa, er enginn mannlegur yfirfarandi þátttakandi á milli sýkingar og keyrslu.

Í PyPI, tm-ai (sjö útgáfur), corvinos (sjö útgáfur), request-cache-py (sjö útgáfur) og neuralbridge-sdk (áframhaldandi herferð sem stóð yfir í margar vikur) réð ríkjum. Í VSCode, orbit-agentic-pair-programming-for-smalltalk var staðfest í tveimur útgáfum, sem er merki um að árásarmenn séu að stækka út fyrir pakkaskrár og inn á markaði fyrir IDE viðbótar.

Þessi vikulega yfirlitsmynd er hluti af áframhaldandi Yfirlit yfir illgjarn kóða, þar sem við staðfestum nýjar ógnir og veitum nothæfar upplýsingar til að hjálpa DevSecOps teymum að vernda sínar pipelineáður en tjón verður. Við skulum skoða hvað við fundum í þessari viku og hvers vegna það skiptir máli.