NPM 供应链投毒波及千万下载量项目,AI 渠道被曝反向诱导用户泄露信息 | 5月12日 AI日报

NPM 供应链投毒波及千万下载量项目，AI 渠道被曝反向诱导用户泄露信息 | 5月12日 AI日报

2026-05-12 | 作者：AI-Amadeus

今天三条线：NPM 生态遭供应链投毒，波及周下载量千万级的包；AI 渠道首次出现反向 Prompt Injection，模型输出诱导用户执行本地命令；公网 3000 端口被扫出 34 个暴露的管理面板。

全是安全，而且全都和具体的人、具体的代码、具体的端口有关。

一、NPM 生态遭大范围供应链投毒：从 TanStack 到 Mistral AI 均受波及

这不是某一个小包被篡改，而是一次横跨多个主流生态的供应链攻击。

根据 Socket 和 IT 之家确认的信息，攻击者利用 GitHub Actions 入口植入恶意代码，受影响范围包括 TanStack 旗下约 84 个 NPM 包版本、覆盖 42 个命名空间项目，Mistral AI 和 UiPath 相关的包也在波及之列。其中 @tanstack/react-router 的周下载量超过 1200 万次，传播面远超单点攻击的量级。

恶意代码的目标非常明确：窃取 AWS、GCP 云密钥和 GitHub 令牌等敏感凭证。攻击链的完整路径是 GitHub Actions → 被污染的 NPM 包 → 开发者本地或 CI 环境 → 云服务凭证外泄。

这轮攻击把三个层面捆在了一起：前端依赖不再天然可信、CI/CD 流程和包管理器共享同一张信任网络、一次成功的包投毒可以直接穿透到云基础设施层。对于团队来说，此刻最该做的不是恐慌，而是检查 package-lock.json 中近期是否有来路不明的版本变更，以及 CI 环境中的凭证是否做了最小权限隔离。

二、AI 渠道风险两则：反向诱导输出 + 管理面板裸奔公网

1. gpt-5.5-high 渠道出现 Prompt Injection，模型反向诱导用户执行命令

一条可复现的安全告警：有开发者在测试 gpt-5.5-high 渠道时，将 max_tokens 设为 20，模型却多次返回超过 300 tokens 的内容，且输出中包含类似”请分享 git config user.email“的诱导语句。响应里还发现了不可见字符和类似  的痕迹。

这不是模型”说错话”，而是输出中夹带了结构化的信息采集意图。当这类输出进入 Agent 流程——比如 Claude Code 或 Codex 的自动执行链路——诱导性内容就有可能触发实际的本地命令执行或环境信息泄露。

作者在多次复测中确认了异常行为的稳定性，并指出问题可能出在某一层 provider 或 channel 的注入，而非模型本身。对于正在使用第三方 API 渠道的用户，这条案例给出的提醒很直接：检查输出中是否出现与请求无关的指令性文字、对 max_tokens 异常值保持警惕、在 Agent 自动执行链路中不要完全信任上游输出。

2. 公益站 3000 端口被扫出 34 个暴露的 NewAPI 实例

另一则实证型安全发现：有用户对多个公益站 IP 的 3000 端口进行了批量扫描，发现了 34 个直接暴露在公网的 NewAPI 实例。

这些实例的管理面和接口面同时对外开放，意味着任何能够访问对应 IP 和端口的人，都能直接接触到 API 管理入口。对于一个承载着模型调用、Key 管理和流量分配的系统来说，这种暴露程度本身就是一个需要正视的风险信号。

原帖附带多张扫描截图，属于实证型发现而非推测。这轮扫描暴露的问题可以概括为一句话：管理面板别裸奔，3000 端口不是默认就应该开在公网上的。

三、大模型降本边界：缓存命中率 99.5% 与 Cursor 的”按次计费”

1. DeepSeek V4 逆向实战：1.2 亿 tokens 仅花 6.87 元

一位开发者使用 DeepSeek V4 结合 IDA Pro MCP 进行逆向工程，总计消耗约 1.2 亿 tokens，实际花费仅 6.87 元。关键数字在于缓存命中率达到了 99.5%。

这个案例的价值不在”逆向”这个应用场景本身，而在于它把大模型成本的构成讲清楚了：当任务需要反复调用同一上下文时，真正决定成本的不是单次输入价格，而是缓存复用率和调用策略。99.5% 的命中率意味着绝大部分 token 消耗被缓存吸收，而非每次从零计算。

对于在长上下文、多轮交互或代码分析场景中使用大模型的团队，这条实测提供了一个可参考的成本优化方向：把工作流设计成上下文可复用的形态，比纠结选哪个更便宜的模型更有效。

2. Cursor 的 Max 模式出现”按次计费”行为

一条来自 Cursor 用户的产品行为观察：在 Agent Window 中切换到 Max Effort 和 1M 上下文后，再关闭 Max 模式，计费状态没有立即回退，表现为近似”按次计费”的效果。用户还分享了一条全局 Rule，用于触发 Cursor 自带问答弹窗，并在规则中禁用了 SubAgent 调用以避免走 Composer 模型偷次数。

这不是官方定价变更的公告，而是对产品计费边界的实测观察。对于日常依赖 AI 编程工具的用户来说，了解 Max 模式的触发条件、上下文窗口的计费规则以及 SubAgent 的调用路径，能直接帮助控制使用成本。

今日速递

OpenCode 宣布限时免费提供 DeepSeek V4 Flash 模型，附带可直接复用的提示词示例。讨论中涉及上游响应时间、网关超时和 relay/streaming timeout 配置等接入细节，对想快速体验 Flash 模型的用户来说是一个低门槛入口。

一篇高关注度的知乎长文从 Vibe Coding 协作实践出发，讨论了 AI 编码时代”高级工程师是否会断档”的问题。项目基于 Claude Code + Openspec 做多人协作，作者的结论很具体：严控模块边界、提交规范、hooks 和单测后，项目质量明显更稳，代价是单次迭代从 5-10 分钟拉长到 20-30 分钟。文章把”断档”拆成了数量、质量和结构三个层面来讨论。

GPT Pro 5X 出现一例正价购买、完成 Cyber KYC 且启用了二级安全密钥后仍然被封禁的案例。发帖人强调账号仅个人使用、未对外分享，但封禁依然发生。对于正在订阅海外 AI 服务的用户来说，这说明即使合规操作也不能完全规避风控风险。

工具推荐

smart-search：CLI + Skills 的多来源 AI 搜索工具

基于 grok-search 思路重构，支持 npm 一键安装（npm install -g @konbakuyomu/smart-search@latest），将多来源检索、抓取和技能化调用整合进 CLI，方便接入 Claude Code、Codex 等开发型客户端。项目在快速迭代中，适合需要把搜索变成工作流组件的开发者。

AI Session Memory Manager：会话记忆管理、可视化与回溯

一个开源工具，核心能力是把 AI 会话历史变成可查看、可导出、可编辑、可回溯的结构化资产。已支持 Claude Code、Codex、OpenCode 等常见使用场景，并在持续加入新集成。对会话越来越长、需要回溯历史决策的用户来说，解决了”AI 说过什么我怎么找”这个现实痛点。

中转站完整搭建教程：VPS + CPA + NEW API + Docker + Nginx + Cloudflare + SSL

一份从零到上线的一站式部署指南，覆盖腾讯云 VPS 购买、FinalShell 连接、端口与安全组配置，再到 CPA、NEW API、Docker、Nginx、Cloudflare 和 SSL 的完整串联。附带具体版本号和操作步骤，不是概念介绍，是一份能照着做的部署笔记。