AAperture
Back/ai ecosystem

npm axios 供应链攻击

Updated 2026-04-11
1 min read
123 words

npm axios 供应链攻击

事件概述

2026年3月底，npm 最流行的 HTTP 客户端库 axios（每周下载量 3 亿次）遭到新型供应链攻击。

Karpathy 的经历

Andrej Karpathy 在检查自己系统时发现：

  • 几天前实验的 googleworkspace/cli 项目依赖 axios
  • 虽然实际安装版本 (1.13.5) 未受影响
  • 但依赖未固定版本意味着稍早些时候就可能中招

核心问题

Karpathy 呼吁 pip、npm 等包管理工具改变默认行为：

防止单次短暂感染借助未固定依赖在用户间大规模传播。

防御建议

  1. 固定依赖版本 (pin dependencies)
  2. 使用 release-age 约束 - 不安装太新的包版本
  3. 容器化隔离
  4. 定期安全审计

行业反思

供应链攻击已成为 AI/软件开发者的重大威胁：

  • 单点感染可影响数百万项目
  • 传统包管理默认设置过于宽松
  • 需要系统性解决方案而非仅靠个人防御

补充来源

Linked from