DEVX

Blog

#npm
Downloads хавтсанд байсан файл AI кодчлогч агентийг хуурч хортой сан суулгуулахыг завджээBlog
Мэдээ

Downloads хавтсанд байсан файл AI кодчлогч агентийг хуурч хортой сан суулгуулахыг завджээ

Хөгжүүлэгчийн компьютерт орхигдсон хортой файл Claude Code, Cursor болон Codex зэрэг AI агентуудыг төөрөгдүүлж, системд хортой npm сан суулгахыг завдсан бодит халдлагыг аюулгүй байдлын шинжээчид илрүүллээ.

TOGTOKHTOGTOKH2026 оны аравдугаар сарын 28
AI агент ба npm install-ийн дундуур хаалт босов: GitHub хортой хамаарлыг таслан зогсоох "Package Firewall"-ийг танилцууллааBlog
Мэдээ

AI агент ба npm install-ийн дундуур хаалт босов: GitHub хортой хамаарлыг таслан зогсоох "Package Firewall"-ийг танилцууллаа

GitHub байгууллагуудын сүлжээ, CI/CD орчин болон хөгжүүлэгчдийн төхөөрөмж рүү хортой npm санг нэвтрэхээс өмнө таслан зогсоох "Package Firewall" үйлчилгээний public preview хувилбарыг зарлалаа. AI кодинг агентууд болон автомат runner-ууд хүний оролцоогүйгээр package суулгадаг болсон өнөө үед энэхүү шийдэл нийлүүлэлтийн сүлжээний хамгаалалтыг шинэ шатанд гаргаж байна.

TOGTOKHTOGTOKH2026 оны аравдугаар сарын 25
"npm install" хийх үеийн халдлагуудыг таслан зогсооно: GitHub анхны "Package Firewall"-ийг танилцууллааBlog
Мэдээ

"npm install" хийх үеийн халдлагуудыг таслан зогсооно: GitHub анхны "Package Firewall"-ийг танилцууллаа

Хөгжүүлэгчид, CI/CD серверүүд болон бие даасан AI агентуудыг хортой сангуудаас (malicious packages) бодит цагт хамгаалах зорилгоор GitHub суурилуулалтын өмнөх "Package Firewall" үйлчилгээгээ нийтэд дэлгэлээ.

TOGTOKHTOGTOKH2026 оны аравдугаар сарын 22
Нууц үг, token хулгайлах шаардлагагүй: npm-ийн Trusted Publishing системээс 1,500 гаруй санг булаан авах "SlugFest" цоорхой илэрлээBlog
Мэдээ

Нууц үг, token хулгайлах шаардлагагүй: npm-ийн Trusted Publishing системээс 1,500 гаруй санг булаан авах "SlugFest" цоорхой илэрлээ

Нээлттэй эхийн хамгаалалтыг бэхжүүлэх зорилготой npm-ийн Trusted Publishing системд ноцтой логик алдаа илэрч, хакерууд ямар ч нууц үг, OIDC түлхүүр хулгайлалгүйгээр 1,500 гаруй багцыг булаан авах боломжтой байсныг Bloom Security илрүүллээ.

TOGTOKHTOGTOKH2026 оны аравдугаар сарын 13
GitHub npm болон Actions-ийн Default тохиргоонуудыг чангарууллаа: Нийлүүлэлтийн сүлжээний аюулгүй байдлын шинэ эрин үеBlog
Мэдээ

GitHub npm болон Actions-ийн Default тохиргоонуудыг чангарууллаа: Нийлүүлэлтийн сүлжээний аюулгүй байдлын шинэ эрин үе

GitHub системээс npm багц болон GitHub Actions-ийн аюулгүй байдлын дефолт тохиргоонуудыг эрс чангаруулж, нийлүүлэлтийн сүлжээний халдлагаас хамгаалах томоохон өөрчлөлтүүдийг цувралаар нэвтрүүллээ.

TOGTOKHTOGTOKH2026 оны наймдугаар сарын 10
npm Санд Ойролцоогоор 800 Хортой Пакет Илэрлээ: AI-аар Үүсгэсэн Нэрс, Олон Платформ Дамнасан RAT ХалдлагаBlog
Мэдээ

npm Санд Ойролцоогоор 800 Хортой Пакет Илэрлээ: AI-аар Үүсгэсэн Нэрс, Олон Платформ Дамнасан RAT Халдлага

npm сан дээр AI ашиглан нэрлэсэн 800 гаруй хортой пакет нийтлэгдэж, Windows, macOS, Linux системүүдэд хортой программ суулгаж байгааг аюулгүй байдлын судлаачид илрүүлжээ. Халдлага нь Cloudflare Workers болон DNS TXT бичлэгүүдийг ашиглан тайзан дараалсан payload дамжуулж байна.

TOGTOKHTOGTOKH2026 оны наймдугаар сарын 8
npm экосистемийг хамарсан томоохон халдлага: 400 гаруй багц Shai-Hulud хорхойд өртөж, хөгжүүлэгчдийн токенууд алдагдлааBlog
Мэдээ

npm экосистемийг хамарсан томоохон халдлага: 400 гаруй багц Shai-Hulud хорхойд өртөж, хөгжүүлэгчдийн токенууд алдагдлаа

Node.js болон JavaScript-ийн экосистемд ChainDrop (Mini Shai-Hulud) нэртэй өөрөө өөрийгөө хувилдаг нийлүүлэлтийн сүлжээний томоохон халдлага гарлаа. keyv, cacheable зэрэг 400 гаруй алдартай npm багцаар дамжин хөгжүүлэгчдийн AWS, GitHub, Vault болон npm токенуудыг хулгайлж байна.

TOGTOKHTOGTOKH2026 оны наймдугаар сарын 6