答案已發布19 個來源
Mini Shai‑Hulud 供應鏈攻擊解析
2026 年 5 月的 Mini Shai‑Hulud 供應鏈攻擊透過劫持 GitHub Actions 發佈流程，將惡意版本注入 42 個 TanStack npm 套件（共 84 個版本），並最終擴散到 170+ 個 npm 與 PyPI 套件。 惡意套件透過 npm 安裝流程中的 lifecycle hook 執行程式碼，竊取 GitHub、npm、雲端服務與 CI/CD 憑證，並利用取得的憑證繼續感染其他專案。
發布者使用 GPT-5.5 編輯
研究答案
重點整理
- 2026 年 5 月的 Mini Shai‑Hulud 供應鏈攻擊透過劫持 GitHub Actions 發佈流程，將惡意版本注入 42 個 TanStack npm 套件（共 84 個版本），並最終擴散到 170+ 個 npm 與 PyPI 套件。
- 惡意套件透過 npm 安裝流程中的 lifecycle hook 執行程式碼，竊取 GitHub、npm、雲端服務與 CI/CD 憑證，並利用取得的憑證繼續感染其他專案。
- OpenAI 表示兩台員工裝置曾安裝受感染套件，但未發現客戶資料被存取；開發者應檢查 2026‑05‑11 至 05‑12 的依賴、重設憑證並更新 OpenAI macOS 應用程式的允許清單設定。
AI 提示詞
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened in the Mini Shai-Hulud supply chain attack involving TanStack and OpenAI, how were two OpenAI employee devices compromised, wh. Article summary: The Mini Shai-Hulud incident was a self-spreading supply-chain attack that compromised TanStack npm packages and reportedly involved two OpenAI employee devices, leading OpenAI to rotate affected macOS app signing certif. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "# OpenAI says no user data stolen after supply-chain hackers accessed employee devices. ## OpenAI said it found no evidence that user data was accessed after a supply-chain attack" source context "OpenAI says no user data stolen after supply-chain hackers ... - Mint" Reference image 2: visual subject "Infosecurit
2026 年 5 月爆發的 Mini Shai‑Hulud 事件，被視為近年最具代表性的開源供應鏈攻擊之一。攻擊者成功入侵熱門 JavaScript 生態系 TanStack 的 npm 套件發佈流程，並讓惡意版本透過合法管道發布到套件庫。
調查期間，OpenAI 也確認 兩台員工裝置曾受到影響，但公司表示 沒有證據顯示客戶資料遭到存取。
這起事件凸顯一個新趨勢：攻擊者不再只針對單一開發者帳號，而是直接攻擊 自動化 CI/CD 發佈管線，藉此把惡意程式混入被信任的開源套件。
Mini Shai‑Hulud 是什麼
Mini Shai‑Hulud 是一種 可自我擴散的供應鏈蠕蟲（supply‑chain worm），安全研究人員將其歸因於威脅組織 TeamPCP。與傳統入侵不同，攻擊者沒有單純竊取維護者帳密，而是鎖定開源專案的 自動發佈流程。
Studio Global AI
繼續深入研究
這個頁面包含附來源佐證的答案，你可以在 Studio Global 內繼續追問。
大家也會問
「Mini Shai‑Hulud 供應鏈攻擊解析」的簡短答案是什麼？
2026 年 5 月的 Mini Shai‑Hulud 供應鏈攻擊透過劫持 GitHub Actions 發佈流程，將惡意版本注入 42 個 TanStack npm 套件（共 84 個版本），並最終擴散到 170+ 個 npm 與 PyPI 套件。
最值得優先驗證的重點是什麼？
2026 年 5 月的 Mini Shai‑Hulud 供應鏈攻擊透過劫持 GitHub Actions 發佈流程，將惡意版本注入 42 個 TanStack npm 套件（共 84 個版本），並最終擴散到 170+ 個 npm 與 PyPI 套件。 惡意套件透過 npm 安裝流程中的 lifecycle hook 執行程式碼，竊取 GitHub、npm、雲端服務與 CI/CD 憑證，並利用取得的憑證繼續感染其他專案。
接下來在實務上該怎麼做？
OpenAI 表示兩台員工裝置曾安裝受感染套件，但未發現客戶資料被存取；開發者應檢查 2026‑05‑11 至 05‑12 的依賴、重設憑證並更新 OpenAI macOS 應用程式的允許清單設定。