#npm

npm, PyPI, Crates.io에 걸친 34개 악성 패키지가 지갑 파일, SSH 키, 클라우드 토큰을 노렸다. 더 큰 쟁점은 .cursorrules와 CLAUDE.md까지 건드려 AI 코딩 도구가 공격자의 지시를 읽게 만들려 했다는 점이다.

2026년 5월 11일 공격자가 GitHub Actions 취약점 세 가지를 연계해 42개 @tanstack/* 패키지에 악성 버전 84개를 게시했다. 설치한 개발자·CI 환경은 AWS·GCP·GitHub·npm·SSH 자격증명을 즉시 교체해야 한다.

Hacker News는 이번 Bitwarden CLI 사고를 평범한 npm 이슈가 아니라, 비밀정보가 몰린 개발 워크플로우를 정면으로 건드린 GitHub Actions 공급망 사고로 받아들였다. 2026년 4월 25일 크롤링 시점 기준 스레드는 855점, 416댓글이었다.

StepSecurity가 2026년 3월 31일 악성 axios 릴리스를 공개하면서 JavaScript ecosystem 전반에 경고가 퍼졌다. 문제의 버전은 유지보수자 계정 탈취와 가짜 dependency를 통해 RAT dropper를 배포한 것으로 분석됐다.