事件经过
StepSecurity 在 2026-08-13 发布了一份报告（遵循 CloudSEK 完整受害者列表披露）,详细说明了"ChainDrop",这是一条 Shai-Hulud 血脉的自传播 npm 蠕虫,首次发现于 2026 年 8 月 4 日。通过攻陷 keyv 维护者的账户并滥用该维护者自己的 CI 管道自动发布木马化版本,在四小时内毒害了 444 个包/2,212 个版本,在 2,186 多个组织中收获开发者、云和 AI 工具凭证。
影响分析
此供应链蠕虫特别针对开发者和 CI/CD 凭证——包括 AI 编码代理和模型提供商 API 的令牌——规模达到（450M+ 周下载）威胁着为无数 AI 辅助开发管道提供支持的软件供应链;新发布的完整受害者暴露列表是对之前 Shai-Hulud 披露的重大升级。
攻击途径
攻击者攻陷维护者的 GitHub 账户,直接将恶意代码推送到主分支,并触发维护者自己的 GitHub Actions 管道来构建和自动发布感染的包版本;蠕虫通过依赖关系图自传播,收获 npm 令牌、云凭证和 CI/CD 机密——包括 AI 编码工具和模型提供商 API 的凭证
受影响系统
npm 生态系统包括 keyv、cacheable-request、flat-cache、file-entry-cache 及其依赖项（CI/CD 管道、AI 编码代理环境）
缓解措施
根据包公告审核并删除受损的 keyv/cacheable/flat-cache/file-entry-cache 版本;轮换安装受影响版本的任何环境中的所有 npm、云和 AI 提供商凭证;审查 CloudSEK/StepSecurity 发布的受害者/暴露列表