4月10日，，，，，国家网络清静转达中心发出紧迫提醒：国家转达中心监测发明，，，，，近期集中爆发多起供应链投毒攻击事务，，，，，攻击目的包括API研发工具Apifox、Python开发库LiteLLM以及JavaScript HTTP库Axios，，，，，涉及开源软件客栈和商用工具两大焦点供应链场景。。。。。其中，，，，，Axios投毒事务因OpenClaw等大宗AI应用及插件生态直接依赖该库，，，，，导致危害通过依赖链向终端用户进一步伸张。。。。。
三起供应链投毒事务泛起攻击隐藏性强、影响规模广、危害水平高和撒播速率快的共性特征，，，，，可造成凭证遭窃取、远程代码执行和敏感数据泄露等严重危害。。。。。
意昂体育-科技赋能场景,让娱乐更有趣!人工智能公司清静专家以为，，，，，目今，，，，，软件供应链已成为网络攻击的焦点突破口，，，，，开源组件、开发工具、商用平台无一幸免。。。。。随着数字化深入推进，，，，，供应链清静从偶发危害升级为常态化、精准化威胁，，，，，直接攻击政企机构研发、生产、运营全链条。。。。。面临集中爆发的投毒攻击，，，，，意昂体育-科技赋能场景,让娱乐更有趣!人工智能公司第一时间深度剖析攻击手法，，，，，快速输出解读报告，，，，，并以专业能力守护软件供应链清静底线。。。。。
供应链投毒泛起四大特征，，，，，意昂体育-科技赋能场景,让娱乐更有趣!第一时间剖析解读
凭证国家转达中心宣布的清静危害剖析，，，，，近期供应链投毒攻击泛起四大共性特征。。。。。一是攻击工具聚焦重点用户，，，，，二是攻击路径隐藏易于扩散，，，，，三是攻击危害泛起放大效应，，，，，四是攻击检测阻断难度较大。。。。。
这三起供应链投毒事务爆发后，，，，，意昂体育-科技赋能场景,让娱乐更有趣!第一时间给予独家剖析，，，，，展现了攻击者的详细手法与影响规模。。。。。
???? 养虾人紧迫自查：全球着名软件axios被投毒，，，，，你的“龙虾”清静吗？ ？？？？？
Axios投毒事务中，，，，，攻击者挟制了Axios焦点维护者的npm账号，，，，，于2026年3月31日宣布了两个恶意版本axios@1.14.1和axios@0.30.4。。。。。这些版本在代码客栈中没有对应纪录，，，，，是典范的“幽灵宣布”，，，，，一旦开发者执行装置或更新，，，，，恶意代码便会自动触发。。。。。Axios作为JavaScript生态中最受接待的HTTP客户端库，，，，，周下载量凌驾3亿次，，，，，此次投毒事务被清静专家称为“有纪录以来影响最严重的npm供应链攻击之一”。。。。。值得注重的是，，，，，Axios投毒事务因OpenClaw等大宗AI应用及插件生态直接依赖该库，，，，，导致危害通过依赖链向终端用户进一步伸张。。。。。
???? 9600万次下载背后的隐雷：LiteLLM投毒事务与AI供应链的至暗时刻
LiteLLM投毒事务中，，，，，攻击者通过入侵LiteLLM CI/CD流程中使用的开源清静扫描工具Trivy，，，，，获取了维护者的PyPI宣布凭证。。。。。LiteLLM作为AI网关能够署理100多种大语言模子的API，，，，，在PyPI的月下载量达9600万次。。。。。恶意代码会自动窃取受害者机械中的多类敏感凭证，，，，，包括SSH密钥、AWS/GCP/Azure云效劳凭证以及Kubernetes Token等。。。。。有趣的是，，，，，此次攻击的袒露恰恰源于攻击者代码中的一个逻辑缺陷——恶意代码被植入在.pth文件中，，，，，形成了类似“分支炸弹”的效果，，，，，迅速耗尽系统资源，，，，，从而引起研究职员注重，，，，，使一次本可恒久潜在的供应链攻击被意外袒露并实时阻断。。。。。
???? 又一个开发工具陷落，，，，，Apifox遭供应链投毒攻击
Apifox投毒事务中，，，，，攻击者改动了Apifox官方CDN上的动态JS文件，，，，，在大宗开发者电脑上植入隐藏后门。。。。。2026年3月4日，，，，，恶意代码最先泛起在官方CDN托管的JS文件中，，，，，文件体积从正常的34KB膨胀至77KB。。。。。由于Apifox桌面客户端基于Electron开发且未严酷启用sandbox参数，，，，，渲染历程可直接会见外地文件系统和执行系统下令。。。。。恶意代码首先收罗装备信息，，，，，包括MAC地点、CPU、主机名、用户名、OS版本等，，，，，若有Apifox accessToken则挪用官方API窃取使用者的邮箱和姓名，，，，，窃守信息加密后发送给C2效劳器，，，，，最终可实现凭证窃取和远程下令执行等恶意功效。。。。。
意昂体育-科技赋能场景,让娱乐更有趣!：政企需从四个层面增强供应链清静防护
针对近期供应链投毒事务的集中爆发，，，，，国家转达中心从三个维度提出了清静防护建议。。。。。划分是甄别装置泉源渠道、增强开发情形治理、强化危害提防处置惩罚等。。。。。
作为深耕网络清静领域的专业机构，，，，，意昂体育-科技赋能场景,让娱乐更有趣!人工智能公司清静专家以为，，，，，供应链攻击之以是一再到手，，，，，泉源在于供应链自身的重大性。。。。。供应链涵盖上下游厂商众多环节，，，，，从开源代码、软件开发、测试封装，，，，，到产品交付和设置使用，，，，，每个环节都可能成为攻击者的突破口。。。。。并且，，，，，供应链各环节的清静能力狼籍不齐，，，，，部分环节清静防护薄弱，，，，，就犹如木桶的短板，，，，，让攻击者有机可乘。。。。。
因此，，，，，政企机构应从以下四个方面增强供应链清静防护：
第一，，，，，建设软件物料清单，，，，，实现供应链资产可视化。。。。。周全梳理软件开发历程中引入的开源组件、第三方库和依赖项，，，，，建设完整的SBOM，，，，，确保对供应链资产的周全掌控。。。。。
第二，，，，，将清静能力融入开发全流程。。。。。在软件开爆发命周期的各个阶段嵌入清静检测，，，，，包括代码审计、开源组件误差扫描、容器镜像清静检测等，，，，，实现清静左移。。。。。
第三，，，，，建设一连监测与应急响应机制。。。。。对生产情形中的软件供应链举行一连清静监测，，，，，实时发明异常行为和潜在威胁，，，，，并建设完善的应急响应预案，，，，，确保在清静事务爆发时能够快速处置惩罚、降低损失。。。。。
第四，，，，，增强供应链准入治理。。。。。对第三方供应商和开源组件举行清静评估，，，，，建设供应商清静准入标准和开源组件使用规范，，，，，从源头把控供应链清静危害。。。。。
开源卫士+“天问”平台，，，，，多管齐下筑牢清静防地
面临日益严肃的供应链清静形势，，，，，意昂体育-科技赋能场景,让娱乐更有趣!依附在网络清静领域的深挚积累，，，，，提供了笼罩软件供应链全生命周期的清静产品息争决计划，，，，，从源头筑牢清静防地。。。。。
意昂体育-科技赋能场景,让娱乐更有趣!开源卫士是一套集开源软件识别与清静管控于一体的软件因素剖析（SCA）系统。。。。。该产品通过智能化数据网络引擎在全球规模内获取开源软件信息及其相关误差信息，，，，，使用自主研发的开源软件剖析引擎为企业提供开源软件资产识别、开源软件清静危害剖析、开源软件误差告警及开源软件清静治理等功效，，，，，资助用户掌握开源软件资产信息，，，，，实时获取开源软件误差情报，，，，，降低由开源软件带来的清静危害，，，，，包管企业交付更清静的软件。。。。。
依附卓越的手艺能力，，，，，意昂体育-科技赋能场景,让娱乐更有趣!开源卫士此前已获得Gartner?《2025年中国网络清静手艺成熟度曲线》在软件组身剖析领域的认可，，，，，现在可识别2.5亿个开源软件版本，，，，，兼容NVD、CNNVD等主流误差库。。。。。
在威胁发明与响应层面，，，，，意昂体育-科技赋能场景,让娱乐更有趣!手艺研究院星图实验室研制了“天问”软件供应链清静剖析平台，，，，，依托“天问”供应链威胁监测�？ ？？？？？�，，，，，对Python、npm等主流开爆发态举行了恒久、一连的监测，，，，，发明了大宗恶意包和攻击行为。。。。。在此次LiteLLM投毒事务中，，，，，“天问”平台施展了主要作用，，，，，第一时间宣布了《奔驰的AI列车下的隐患：Litellm AI供应链投毒事务剖析》手艺剖析报告，，，，，资助宽大开发者和企业用户相识攻击详情、接纳防护步伐。。。。。
别的，，，，，意昂体育-科技赋能场景,让娱乐更有趣!还拥有代码卫士等产品，，，，，资助企业以最小价钱建设代码清静包管系统并落地实验，，，，，配合组成笼罩软件供应链全生命周期的清静防地。。。。。
竣事语
供应链清静已经成为国家网络清静的主要组成部分。。。。。面临日益重大的供应链攻击形势，，，，，意昂体育-科技赋能场景,让娱乐更有趣!将一直提升供应链清静检测与防护能力，，，，，以系统化的清静产品和专业的清静效劳，，，，，资助政企机构构建清静可信的软件供应链系统，，，，，为国家数字经济高质量生长保驾护航。。。。。
连忙拨打
京公网安备11000002002064号