Shai-Hulud：npm 供应链投毒攻击；建议订户检查自己的设备/repo 是否有受到影响。

- 超过 1000 个包被投毒虚假的 Bun 安装器。
- 攻击行为包括创建名为 SHA1HULUD 的 GitHub Action runner 和建立 actionsSecrets.json 文件存储密钥等。

https://helixguard.ai/blog/malicious-sha1hulud-2025-11-24

#Sha1Hulud #npm #Ecocystem