答案已發布22 來源
Mini Shai‑Hulud 供應鏈攻擊：TanStack npm 事件點樣波及 170+ 套件
2026 年 5 月，攻擊者劫持 GitHub Actions 發布流程，將惡意版本發佈到超過 170 個 npm 同 PyPI 套件，包括 42 個 TanStack 套件。 惡意程式「Mini Shai‑Hulud」會喺安裝依賴時執行，嘗試竊取 AWS、GitHub、npm、Kubernetes 等憑證並向其他套件擴散。
發布者使用 GPT-5.5 編輯圖片由 GPT Image 2 生成
研究答案
重點
- 2026 年 5 月，攻擊者劫持 GitHub Actions 發布流程，將惡意版本發佈到超過 170 個 npm 同 PyPI 套件，包括 42 個 TanStack 套件。
- 惡意程式「Mini Shai‑Hulud」會喺安裝依賴時執行，嘗試竊取 AWS、GitHub、npm、Kubernetes 等憑證並向其他套件擴散。
- 事件促使安全團隊重新審視 CI/CD 同依賴管理風險，包括憑證輪換、收緊 GitHub Actions 權限，以及加強供應鏈安全。
AI 提示
openai.comCreate a landscape editorial hero image for this Studio Global article: Inside the TanStack npm Supply‑Chain Attack: How the Mini Shai‑Hulud Worm Compromised 170+ Packages. Article summary: In May 2026, attackers used a chained GitHub Actions exploit to hijack legitimate release pipelines and publish malicious versions of more than 170 npm and PyPI packages—including 42 TanStack libraries—spreading the M.... Topic tags: cybersecurity, software supply chain, npm, pypi, github actions. Reference image context from search candidates: Reference image 1: visual subject "# Mini Shai-Hulud: The NPM Supply Chain Worm Hitting TanStack, Mistral, UiPath, and More. ArmorCode Blog - Mini Shai-Hulud: The NPM Supply Chain Worm Hitting TanStack, Mistral, UiP" source context "Mini Shai-Hulud: The NPM Supply Chain Worm Hitting TanStack ..." Reference image 2: visual subject "# Mini Shai-Hulud: The NPM Sup
現代軟件開發高度依賴 開源套件 同 CI/CD 自動化流程。但正正因為咁，攻擊者只要入侵其中一個環節，就有機會影響大量開發者。
2026 年 5 月，一個名為 Mini Shai‑Hulud 嘅供應鏈攻擊利用呢個弱點，成功入侵 超過 170 個 npm 同 PyPI 套件，波及多個知名開發者生態，包括 TanStack、UiPath、Mistral AI 同 OpenSearch。
同一般入侵唔同，今次攻擊並唔係偷取維護者帳號密碼，而係直接利用 GitHub Actions 自動發布流程嘅漏洞，透過官方渠道發佈惡意版本。
Studio Global AI
繼續你的研究
此頁麵包含一個有來源支援的答案，您可以在 Studio Global 內繼續。
人們還問
「Mini Shai‑Hulud 供應鏈攻擊：TanStack npm 事件點樣波及 170+ 套件」的簡短答案是什麼？
2026 年 5 月，攻擊者劫持 GitHub Actions 發布流程，將惡意版本發佈到超過 170 個 npm 同 PyPI 套件，包括 42 個 TanStack 套件。
首先要驗證的關鍵點是什麼？
2026 年 5 月，攻擊者劫持 GitHub Actions 發布流程，將惡意版本發佈到超過 170 個 npm 同 PyPI 套件，包括 42 個 TanStack 套件。 惡意程式「Mini Shai‑Hulud」會喺安裝依賴時執行，嘗試竊取 AWS、GitHub、npm、Kubernetes 等憑證並向其他套件擴散。
接下來在實務上我該做什麼？
事件促使安全團隊重新審視 CI/CD 同依賴管理風險，包括憑證輪換、收緊 GitHub Actions 權限，以及加強供應鏈安全。