Mini Shai‑Hulud：600+ 惡意 npm 套件如何在幾分鐘內被發布

受影響的專案包含多個知名開源專案或 SDK，例如：

• TanStack
• Mistral AI
• UiPath
• OpenSearch
• Guardrails AI

這些套件在整個開發生態中被大量依賴，其歷史下載量合計超過 5 億次，意味著即使短時間被污染，也可能影響大量應用程式與企業系統。

後續攻擊更鎖定 AntV 資料視覺化生態系，該套件群在 npm 上每週下載量約 1600 萬次。

為何能在幾分鐘內發布數百個惡意版本

2026 年 5 月 19 日的 AntV 事件展示了攻擊的速度與自動化程度。

報告指出，攻擊者成功 入侵與 atool 套件相關的 npm 維護者帳號，並利用該帳號的發佈權限在短時間內大量推送新版本。

由於許多專案使用自動化發佈流程，一旦取得維護者權限，攻擊者就可以：

• 透過腳本或 CI 管線批次發佈
• 快速增加套件版本號
• 同時對大量套件平行發布

這種自動化能力讓攻擊者能在 數分鐘內發布數百個惡意版本，而不是逐個入侵套件。

濫用 GitHub Actions 與 OIDC 信任機制

Mini Shai‑Hulud 最技術性的一點，在於它成功利用了現代 CI/CD 的「安全發布」機制。

許多開源專案現在使用 GitHub Actions Trusted Publishing。這種模式會透過 OpenID Connect（OIDC） 取得短期身分權杖，避免在 CI 中儲存長期憑證。

在多起事件中，攻擊者成功：

• 劫持或操控 GitHub Actions 工作流程
• 從 CI runner 記憶體中取得 OIDC token
• 使用該 token 直接進行 npm 發佈

由於發佈是由 專案自己的 CI 管線完成，npm registry 看到的來源仍然是合法流程。

結果是：惡意套件看起來完全正常。

惡意套件為何帶有「合法簽章」

近年軟體供應鏈安全的一個核心技術是 SLSA（Supply‑chain Levels for Software Artifacts） 與 Sigstore。

這些系統會：

• 生成建置來源證明（provenance）
• 使用短期憑證簽署套件
• 讓使用者驗證套件確實由指定 CI 流程產生

然而 Mini Shai‑Hulud 證明了一個重要問題。

研究人員發現，攻擊者利用被入侵的 CI 身分與 OIDC token 取得合法 Sigstore 簽名憑證，使惡意套件帶有 SLSA Build Level 3 的 provenance。

換句話說：

• 套件確實由官方 CI 發布
• 套件具有合法簽章
• provenance 指向真實 workflow

但 CI 環境本身已被攻擊者控制。

惡意程式試圖竊取什麼

這些被污染的套件主要目的不是立即破壞，而是竊取憑證以便擴散。

報告顯示惡意程式會嘗試收集：

• CI/CD token 與 pipeline 憑證
• AWS、GCP、Azure 等雲端金鑰
• npm 或 GitHub access token
• SSH key
• 資料庫連線字串與開發者機密

透過竊取這些憑證，攻擊者可以：

• 入侵更多 repository
• 控制更多 CI 發佈流程
• 在更多套件中植入惡意版本

因此 Mini Shai‑Hulud 被研究人員形容為一種 可自我傳播的供應鏈蠕蟲（supply‑chain worm）。

為何這對 JavaScript 生態系是重大威脅

這次事件揭露了現代開源供應鏈的幾個關鍵風險。

1. 信任的基礎設施可能被反向利用
即使套件具有 SLSA provenance 與加密簽章，如果 CI 發佈流程被攻擊者控制，仍然可能發布惡意軟體。

2. 一個維護者帳號即可影響整個生態
AntV 事件顯示，只要入侵一個帳號，就能在短時間內影響 數百個套件與版本。

3. npm 的依賴關係會放大衝擊
熱門套件通常被數千個專案間接依賴，因此惡意更新可以透過 transitive dependency 擴散到大量應用程式。

4. 攻擊活動呈現持續演化
研究人員將 Mini Shai‑Hulud 與 TeamPCP 先前攻擊（例如 Checkmarx Jenkins AST 插件事件）連結，顯示這不是單一事件，而是長期行動的一部分。

給開發者與企業的警訊

Mini Shai‑Hulud 帶來的一個重要教訓是：

加密簽章與來源證明並不能單獨保證安全。

如果攻擊者控制了產生這些簽章的 CI 環境，那麼「合法簽名的惡意軟體」就會出現。

因此越來越多組織開始強化：

• CI runner 隔離
• workflow 權限最小化
• 套件發佈行為監控
• 持續依賴安全掃描

隨著開源專案越來越依賴自動化建置與簽名發佈，CI 基礎設施與開發者身分安全 已經成為軟體供應鏈防禦的核心。

Mini Shai‑Hulud 正好展示了：當這些信任被利用時，攻擊可以在幾分鐘內擴散到整個生態系。