供应链安全综述：ChainDrop恶意npm包、Open VSX假冒插件及HaluSquatting攻击分析

漏洞概述 ChainDrop：恶意软件感染超过1300个npm包，月下载量达20亿次。攻击者通过精心策划的npm大屠杀，感染开发者环境，窃取SSH密钥和Git配置，获取对代码仓库的访问权限。 Open VSX：77个“孪生恶魔”插件伪装成知名插件，收集主机名、仓库信息、CI/CD数据等敏感信息。 HaluSquatting：AI幻觉导致推荐不存在的代码包，攻击者利用这一点在开发者环境中植入恶意代码。 供应链安全：软件供应链的每个环节都可能成为攻击入口，包括npm生态、VSCode扩展市场、AI编程助手等。 影响范围 ChainDrop：影响全球开发者，尤其是使用npm包的项目。 Open VSX：影响使用VSCode及其扩展市场的开发者。 HaluSquatting：影响使用AI编程助手（如GitHub Copilot、Cursor、Claude Code）的开发者。 供应链安全：影响所有依赖第三方代码和工具的开发者。 修复方案 1. 依赖锁定 + 子资源完整性： - 不要信任任何自动更新的依赖，使用 锁定版本。 - 使用 跳过 ，但需仔细检查。 2. 令牌权限最小化： - npm Token不要给publish权限，除非必要。 - GitHub Token不要给repo全局权限，按仓库逐个授权。 - CI环境的凭证要和个人开发的凭证混用，避免权限过度授予。 3. 审查AI生成的代码依赖： - 在AI帮你写了 之后，去npm搜一下这个包是否真实存在。 - 最后一次更新是什么时候，维护者是谁，确保代码包的安全性。 总结 供应链攻击从“可能发生”到“正在发生”，仅用了几年时间。 从ChainDrop的1300个包，到Open VSX的77个假扩展，再到HaluSquatting的精确陷阱，攻击者比你更了解你使用的每一个工具链条。 你的代码不是孤立的，它依赖成千上万个“别人的代码”，而“别人的代码”来源可能是一个被AI幻觉生成的包名，然后被一个蹲点的攻击者接管。任何一环断裂，整个链条都会崩塌。 代码块 无POC代码或利用代码。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

供应链安全综述：ChainDrop恶意npm包、Open VSX假冒插件及HaluSquatting攻击分析

目标达成感谢每一位支持者 — 我们达成了 100% 目标！