npm

Anthropic公司意外将Claude Code CLI完整源代码打包进公共npm包，泄露约51.2万行TypeScript代码，包含KAIROS、BUDDY等未发布功能。该公司确认事件并归因于源映射配置错误，引发AI安全关注。

安全专家警告，npm最依赖的软件包之一Axios正遭受严重的供应链攻击。最新版本axios@1.14.1拉取了一个今天之前不存在的恶意软件包plain-crypto-js@4.2.1，每周下载量超过1亿次的Axios可能使大量Web3开发项目面临风险。