一个npm包偷走你的云：tensorlake 0.5.144与Shai-Hulud蠕虫全解析

摘要

2026 年 10 月 8 日，npm 上的 Tensorlake 官方 SDK（tensorlake）发布了一个被投毒的版本 0.5.144，携带 Shai-Hulud 蠕虫家族的凭证窃取载荷。它的几个关键事实：

• 恶意提交直接进主分支原文：https://www.freebuf.com/articles/database/506582.html

  我的收藏