TanStack供应链安全事件已引起科技界警惕。此次攻击成功入侵了OpenAI两名员工的设备，迫使该公司紧急部署macOS系统更新。该案例揭示了恶意行为者如何通过第三方依赖关系渗透，而无需直接攻击目标公司。
如何利用第三方依赖关系 🛡️
软件供应链是反复出现的攻击载体。在此次事件中，攻击者将恶意代码注入TanStack组件——JavaScript生态系统中流行的库。OpenAI开发人员在更新依赖关系时，无意中下载了恶意载荷。一旦进入系统，攻击者便访问了两台Mac上的本地数据。OpenAI通过修补系统并审查macOS执行权限、限制未授权进程来应对。教训显而易见：审计每个依赖关系不是可选项，而是必选项。
盲目更新一切的搞笑一面 😅
这次事件告诉我们，盲目信任npm install就像邀请陌生人审查你的代码。OpenAI不得不为两台Mac灭火，因为某人在某处认为不阅读更新日志就更新库是个好主意。现在，每当你看到一个每周下载量达千万级的软件包时，请记住：它也可能有一千万种方式毁掉你的一天。