Shai-Hulud 惡意軟體攻擊波及 600 個 npm 套件

攻擊者利用開發者對開源庫的信任，將惡意程式碼混入 npm 套件庫中，當開發者自動更新或下載這些套件時，系統便遭入侵。這種供應鏈攻擊手法隱蔽性極高，往往在軟體部署後才被發現，導致大規模的資料外洩或系統被控管。一般開發者容易忽略對非知名開發者所發布套件的來源驗證，直接信任自動更新機制而中招。建議開發者定期審查套件來源，啟用套件簽章驗證，並避免從非官方渠道下載依賴庫，以杜絕此類技術基礎設施詐騙。