ар жума сайын, биздин зыяндуу программаларды аныктоо системаларыбыз npm жана PyPI сыяктуу коомдук реестрлердеги миңдеген жаңы жана жаңыртылган пакеттерди сканерлейт. Бул апта да четте калган жок.
Биз 2026-жылдын 26-июнунан 3-июлуна чейин npm жана PyPI аркылуу 90дон ашык зыяндуу пакеттерди тастыктадык, мурунку жумалардан бери бир нече кампаниялар уланып, жаңылары пайда болду.
The nolimit-agent кампания жаңы версияларын (1.0.306, 1.0.315, 1.0.316) жарыялоону улантып, биз өзүбүздүн макалабызда кеңири документтештирген Microsoft 365 түзмөк кодунун фишинг алкагын кеңейтти. DeviceDoor отчету. The anthropic-toolkit cluster жаңы кампаниянын басымдуу бөлүгү болуп, 30-июнда эле 20 версиясы тастыкталды — алар Anthropicтин иштеп чыгуучу куралдары менен байланышкан пакеттерге түздөн-түз багытталган. cursed-modules үй-бүлө 1-июлдан 2-июлга чейин эки өлкөдө тең 15тен ашык версиясын жарыялады standard жана көз карандылыктын башаламандыгы боюнча окуу куралынан кийин версия номерлери (999.x) көбөйтүлгөн. date-fns-lite кластер (5 версия, 2-июль) кеңири колдонулган мыйзамдуу коммуналдык пакеттерди туурап көрсөтүү схемасын уланткан.
Өткөн аптада AI куралдарын максаттуу колдонуу схемасы түзүлдү ollama-helpers жана openai-agents-helpers ушул мезгилге чейин узартылган ai-explain, ai-sdk-helpers, жана @langgraphjs/toolkit, баары 28-июндан 30-июнга чейин тастыкталган. @szc-ft/mcp-szcd-client пакет (0.38.0 жана 0.39.0 версиялары, 2-июлда тастыкталган) биз көзөмөлдөп жаткан жаңы үлгүнү киргизди SkillLeak: орнотуу илгичинин ордуна MCP жөндөмүнүн ичинде жашырылган, postinstall'да токтогон сканерлерге көрүнбөгөн, ишеним грамотасынын чечмелөөчүсү. Биз жарыялаган SkillLeakтин толук анализи бул жерде.
Бул жумалык кыскача маалымат биздин уланып жаткан иш-чарабыздын бир бөлүгү Зыяндуу код дайджести, мында биз жаңы коркунучтарды текшерип, DevSecOps командаларына аларды коргоого жардам берүү үчүн иш жүзүндө колдонууга боло турган чалгындоо маалыматтарын беребиз pipelineзыян келтирилгенге чейин. Келгиле, ушул аптада эмне тапканыбызды жана анын эмне үчүн маанилүү экенин талдап көрөлү.
90+ топтом. Бир жума. The Pipeline Максат.
Бул аптадагы дайджест чабуулчулардын көңүлүнүн көлөмүнүн гана эмес, чабуулга чейинки даярдыктын да өзгөрүшүн чагылдырат.cisион. Узак мөөнөттүү версиялардын агып кетиши, жасалма интеллекттин курал кластерлери, MCP катмарынын далдаштырма маалыматтарынын уурдалышы жана ички монорепонун аталыш мейкиндиктерине көз карандылыктын башаламандык чабуулдары. Кампаниялар автоматташтырылган жана үзгүлтүксүз жүргүзүлөт. Жумалык сканерлөө коргонуу эмес.
Xygeni зыяндуу программасынын алгачкы эскертүүсү npm, PyPI жана башка реестрлерди реалдуу убакыт режиминде көзөмөлдөйт, коркунучтарды жарыяланган учурда, алар курулганга жеткенге чейин, жасалма интеллект агенти аларды өз алдынча орното электе жана SkillLeak стилиндеги пайдалуу жүктөм аткарыла электе белгилейт. Качан anthropic-toolkit бир күндө 20 версиясын чыгарат же cursed-modules эки күндүн ичинде npmди 999.x версиясы менен каптап кетет, фактыдан кийин иштей турган аныктоо өтө кеч болуп калат.
Xygeni's Open Source Security платформа DevSecOps командаларына координацияланган жеткирүү чынжырынын басымынан алдыда болуу үчүн зарыл болгон реалдуу убакыт режиминде аныктоону жана артыкчылык берүүнү камсыз кылат, андыктан сиздин pipelineКомандаларыңызды жайлатпастан, таза бойдон калыңыз.
