**持续的 NPM 供应链攻击利用 binding.gyp 像蠕虫一样传播** _Ongoing NPM supply chain attack uses b

原帖

**持续的 NPM 供应链攻击利用 binding.gyp 像蠕虫一样传播**

_Ongoing NPM supply chain attack uses binding.gyp to spread like a worm_

> ai-sdk-ollama 包的多个版本（0.13.1, 1.1.1, 2.2.1, 3.8.5）被发现包含恶意 binding.gyp 和 index.js 文件，执行后会下载 Bun 运行时、窃取 CI/CD 凭据并将自身注入 GitHub Actions 工作流文件，形成蠕虫式传播。

**来源信息**
- **来源**：Hacker News：AI 热帖
- **分类**：ai-products
- **发布时间**：2026-06-04 12:18（北京时间）
- **原文**：[打开原文](https://github.com/jagreehal/ai-sdk-ollama/issues/975)