Source: Slashdot
一名Snyk安全研究员被指控在针对AI编码初创公司Cursor的依赖混淆攻击中，发布恶意的NPM包。
这些恶意包收集并传输系统数据到攻击者控制的服务器，且以经过验证的Snyk电子邮件地址发布。
OpenSSF包分析扫描器标记出三种恶意包，分别生成了警告MAL-2025-27、MAL-2025-28和MAL-2025-29。
研究员发布的包名包括"cursor-retrieval"、"cursor-always-local"和"cursor-shadow-workspace"，意图利用Cursor相同名称的私有NPM包。
在网络安全日益严峻的今天，谁又能保证连最大牌的公司和研究员也不被黑暗势力所侵扰呢？
特别声明：本文及配图均为用户上传或者转载，本文仅代表作者个人观点和立场，不代表平台观点。其原创性以及文中陈述文字和内容未经本站证实，
对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本平台不作任何保证或承诺，请读者仅作参考，
并请自行核实相关内容。如发现稿件侵权，或作者不愿在本平台发布文章，请版权拥有者通知本平台处理。
Copyright Disclaimer: The copyright of contents (including texts, images, videos and audios)
posted above belong to the User who shared or the third-party website which the User shared from.
If you found your copyright have been infringed, please send a DMCA takedown notice to
info@microheadline.com
来源：https://it.slashdot.org/story/25/01/14/0920245/snyk-researcher-caught-deploying-malicious-code-targeting-ai-startup?utm_source=rss1.0mainlinkanon&utm_medium=feed
https://www.linkedin.com/posts/carlodapino_github-projects-targeted-with-malicious-commits-activity-7263709202064281601-sQcN
https://docs.snyk.io/manage-risk/prioritize-issues-for-fixing/malicious-packages
