Axios供應鏈攻擊影響全球開發者

2026年3月31日，axios遭遇供應鏈攻擊，影響每週高達3億次下載的開發環境。這一事件由Socket Security研究員Feross Aboukhadijeh揭露，指出攻擊者只需短時間釋出惡意版本，就能在全球範圍內隨機感染開發者環境。

此次攻擊涉及兩個受污染版本，分別為[email protected]與[email protected]，這些版本內部引入了一個全新套件[email protected]。該惡意套件具備執行shell指令、下載並部署後續payload的能力，對開發者造成重大威脅。

Karpathy指出，這是一次「高度危險的供應鏈事件」。他強調，套件管理的預設行為必須改變，否則單點感染就能透過未鎖定依賴在大規模用戶中擴散。

此外，OpenClaw的最新3.28版可能引入遭供應鏈投毒的axios套件，開發者應立即透過npm ls axios確認當前使用版本，並鎖定在安全版本。

根據報導，MEDIA協議存在Prompt注入高危漏洞，影響全球逾17萬個公開存取的實例。CNNVD已累計收錄82個OpenClaw相關漏洞，顯示出此次事件的嚴重性。

為了防範此類攻擊，專家建議開發者導入自動化安全掃描工具，例如Socket Security、StepSecurity或Trivy，以提高安全性。

攻擊者針對不同作業系統量身打造了專屬載荷，這使得攻擊的影響範圍更加廣泛。開發者必須保持警惕，隨時檢查和更新其使用的套件。

目前，對於此次攻擊的詳細情況仍未確認，開發者應持續關注相關資訊以確保其環境的安全。