【基于 LottieFiles npm 包供应链投毒事件】 有开发者在项目里用 Lottie 做动画时遇到报错，把相关代码和依赖信息丢给 AI 帮忙看。 A… · @HunziDaily · TwKit

@HunziDaily

【基于 LottieFiles npm 包供应链投毒事件】 有开发者在项目里用 Lottie 做动画时遇到报错，把相关代码和依赖信息丢给 AI 帮忙看。 AI 指出当时安装的某个版本存在异常代码，涉及对浏览器钱包相关对象的探测。该事件后续被社区确认是官方 npm 包被投毒。 开发者及时回退版本并关注了官方通报。 开源依赖出问题时，AI 至少能帮你更快定位到异常代码段，但最终仍需要对照官方安全通告确认。 提示词： "请帮我检查当前项目的依赖是否存在明显异常： 1. 看看近期更新的依赖包有没有高度混淆的代码或异常网络请求； 2. 重点关注是否访问了钱包、本地存储等敏感对象； 3. 用大白话告诉我哪些包比较可疑； 4. 只给出回退版本或卸载的建议，不要直接执行。"

曝光 231 · 评论 3 · 点赞 2 · 书签 0