Jiayun's Blog

Libraries.io / ecosyste.ms 的创始人 Andrew Nesbitt，把现代语言包仓库这二十年攒下来的所有供应链笑话——钓鱼 YubiKey、postinstall 偷凭证、被 vendored 进 Rust crate 又被 vendored 进 Python build tool 的依赖、自动批准 PR 的 Dependabot、把生态系统不慎修好的加密币蠕虫——压缩进一篇 1569 字的事件报告，写出了 2026 年 Q2 整个开源世界的精神状况。

Tanner Linsley 亲笔的 TanStack 供应链攻击 postmortem——pull_request_target 的 Pwn Request、GitHub Actions 跨信任边界的缓存投毒、与从 Runner 进程内存里抠出 OIDC token 的三段式利用链——是 2026 年最教科书级的供应链事件研究素材。

Mini Shai-Hulud 攻击事件复盘：从 TanStack 投毒到 OpenAI 代码签名证书撤销，开源供应链安全的攻击面正在指数级扩大。