惡意 NPM 套件藉自動化流量灌水下載量，偽裝成活躍維護專案

攻擊者利用開發者依賴下載量判斷可信度的心理，透過自動化腳本在短時間內大量下載惡意套件，偽造出該套件熱門且持續維護的假象。這種手法讓惡意程式混入正規開發環境，一旦開發者信任並引入該套件，後門程式便可能悄悄執行，竊取程式碼或控制伺服器。一般開發者容易忽略下載量與真實使用者數量的落差，過度依賴單一指標而忽視套件本身的程式碼審查。建議開發者在引入第三方套件前，務必查閱其 GitHub 原始碼、社群討論區及開源貢獻者名單，並使用靜態分析工具掃描潛在風險。