keyv 等 npm 包家族被入侵，波及数百个包 RSS

签名只能证明谁发布了某次构建，证明不了发布前的仓库状态没被改过。Aikido 报告攻击者接管维护者的 GitHub 账户，向多个包注入 preinstall 脚本，再由合法的 Actions 流水线发布，产物因此带着「正常」的出处。截至 8 月 4 日观察到至少 434 个包、1381 个版本。keyv 家族位于大量 Node.js 工具链的间接依赖路径上，命中受影响版本的开发机或 CI 应按凭据泄露处置。

发布于 2026-09-10T10:59:47.516278Z · Aikido · Aikido 安全博客

npm 供应链 凭据轮换

签名只能证明谁发布了某次构建，证明不了发布前的仓库状态没被改过。Aikido 报告攻击者接管维护者的 GitHub 账户，向多个包注入 preinstall 脚本，再由合法的 Actions 流水线发布，产物因此带着「正常」的出处。截至 8 月 4 日观察到至少 434 个包、1381 个版本。keyv 家族位于大量 Node.js 工具链的间接依赖路径上，命中受影响版本的开发机或 CI 应按凭据泄露处置。

签名只能证明谁发布了某次构建，证明不了发布前的仓库状态没被改过。Aikido 报告攻击者接管维护者的 GitHub 账户，向多个包注入 preinstall 脚本，再由合法的 Actions 流水线发布，产物因此带着「正常」的出处。截至 8 月 4 日观察到至少 434 个包、1381 个版本。keyv 家族位于大量 Node.js 工具链的间接依赖路径上，命中受影响版本的开发机或 CI 应按凭据泄露处置。

原始来源 ↗

来源记录

• center.info_item · ae8bbc2191356d56 · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · ae8bbc2191356d56 · 2026-10-03T04:08:55.967155Z