AI 代理的基础设施也中招了：TensorLake 官方 npm 包被投毒

10月8日，AI 代理基础设施项目 TensorLake 的官方 npm 包发布了恶意版本 0.5.144。装上它，npm、GitHub、AWS、Vault 的密钥会在几秒内被搜集外传。从恶意提交进入主分支到发布，再到被研究人员发现，只隔了约 11 分钟。

先说结论

1. 恶意载荷是 Shai-Hulud 家族的 Mini 变种，通过 preinstall 脚本在开发者终端、CI 环境、Kubernetes 和云环境中运行。
2. 它窃取 npm 令牌、GitHub 个人访问令牌、AWS/GCP/Azure 云密钥和 HashiCorp Vault 凭据。
3. 这已是该家族第三次大规模入侵：此前 keyv/cacheable、@antv（波及百万周下载的 echarts-for-react）接连被投毒。
4. 对企业的直接提示：官方包地址不保证安全，依赖来源校验、制品库拦截和密钥轮换必须提前落地。

一、发生了什么

TensorLake 是开源 AI 代理基础设施项目，它的 npm 包每周下载量约 1.2 万次。10月7日 01:20 UTC，一个恶意提交以维护者名义进入 tensorlake-ai/tensorlake 主分支；10月8日，同名 npm 包 0.5.144 从同一仓库发布，携带混淆后的恶意载荷。

二、Shai-Hulud：会"传染"的凭据窃取蠕虫

恶意版本用 preinstall 脚本做入口：开发者执行 npm install，脚本即运行，混淆的 bun 载荷随后接管。它不是偷一次就走，而是自我复制、横向扩散，因此被安全厂商定义为"凭证窃取蠕虫"。

更值得警惕的是它的"人质令牌"机制：攻击者把窃取的发布令牌作为触发器，一旦受害者撤销令牌，可能触发擦除路径，销毁本机数据。研究人员提醒，常规处理方式——卸载恶意包、锁定干净版本、轮换密钥——如果不同时清理 AI 编码助手目录中的配置文件，机器仍然处于失陷状态。

三、为什么 AI 供应链成了靶子

Shai-Hulud 家族从 2025 年 9 月开始活跃，手法从 npm 抢注（typosquatting）进化到直接攻陷真实维护者账号、投毒官方包。三条特征让它成为供应链攻击的标杆样本：

1

伪造软件签名链

该家族曾提取 GitHub Actions OIDC 令牌，获取合法 Sigstore 签名证书，让恶意包在自动化工具面前显示为通过 SLSA 三级校验。

2

把 AI 编码助手配置当持久化据点

.claude/、.vscode/ 等目录通常被 .gitignore 排除，很少被审查。恶意代码藏在这里，卸载包也无法清除。

3

开发者环境自带高价值凭据

一台开发机同时躺着云密钥、CI 令牌和代码仓库权限，攻破一个开发者，等于拿到整个发布链。

四、企业怎么防：五条可执行清单

1

排查是否装过 0.5.144

运行 npm ls tensorlake，检查 lock 文件是否锁定 0.5.144；检查自 10 月 7 日起是否克隆或拉取过 tensorlake main 分支。

2

全量轮换受影响凭据

npm 令牌、GitHub PAT、云密钥、Vault 凭据全部轮换；留意"人质令牌"机制，撤销前先隔离受污染机器。

3

清理 AI 编码助手配置目录

检查 .claude/、.vscode/ 等被 .gitignore 排除的目录，查找异常脚本与配置，别只卸载包就收工。

4

把制品库变成强制闸口

所有第三方依赖走内部制品库（Nexus、JFrog），对外部开源生态与内部仓库之间的请求做投毒拦截，阻断恶意包进入构建链。

5

盯住 CI 与云环境异常外传

对 CI 流水线的网络外联设白名单与告警，重点监测凭据文件访问、加密外传和可疑进程，把"安装即失陷"变成可发现的事件。

五、塞讯能做什么

TensorLake 事件的核心缺口有两个：依赖来源不可信、凭据被窃后不可见。塞讯产品体系对这两个缺口都有对应能力。

官方包、签名校验、锁定版本——这些曾经够用的防线，在攻击者学会伪造签名链之后需要重新评估。把依赖入口管起来，把凭据外传看得见，是当前成本最低的两件事。

参考来源

[1] The Hacker News《Tensorlake npm Package Compromised to Deliver Shai-Hulud Credential-Stealing Worm》，2026-10-08
[2] Endor Labs《Tensorlake npm package compromised by Shai-Hulud》，2026-10-08
[3] StepSecurity《Tensorlake npm Package Compromised: A Worm With a Hostage Token》，2026-10-08
[4] SafeDep《tensorlake 0.5.144 npm Compromise Ships Mini Shai-Hulud》，2026-10-08
[5] Cloud Security Alliance《Mini Shai-Hulud: npm Worm Targets AI Developer Supply Chain》，2026-05