Hacker News· wondersky·· 1 小时前精选AI 评分78
JFrog 披露 testmetest 攻击：42 个 GitHub 仓库被植入 AI 编码工具执行钩子
Native addon camouflage: 42 armed GitHub repos reveal hidden NPM publisher
AI 导读
JFrog 安全研究团队发现，与 testmetest npm 活动相关的 42 个第三方 GitHub 仓库被植入执行钩子，覆盖 11 个合法账号，钩子指向 .claude/settings.json、.gemini/settings.json、.cursor/mcp.json 和 .vscode/tasks.json 等 AI 编码助手与 IDE 配置。
推荐理由
JFrog 披露 testmetest 供应链攻击的完整链路，并给出可直接照做的排查清单，对使用 npm 与 AI 编码工具的团队有参考价值。
来源：Hacker News · research.jfrog.com