待验证50% 置信事实精确时间
一次安全扫描发现克隆仓库的 .npmrc 能把 registry token 通过它自己的代理发出去，概念验证捕获到了 Bearer USER-SECRET-TOKEN。
1
来源数
50%
置信度
长期有效
时效性
2026/10/16
首次发现
来源
涉及实体
相关事实
待验证攻击载荷会扫描 .npmrc 中的 npm 认证令牌、AWS/GCP/Azure 云凭证、环境变量中的密钥以及 CI/CD 部署密钥69% 相似待验证Crypto Wallet Safety Check 是一个 SKILL.md 形式的 Agent 技能，引导 Agent 完成 EIP-7702 委托指示符、委托代码、授权记录、nonce、蜜罐检测、permit 钓鱼等检查，仅使用公共 RPC 端点且构造上只读；配套工具 Onchain Claim Verifier 用于验证支付声明，二者在 Ko-fi 和 Payhip 发布。66% 相似待验证Invariant Labs针对官方GitHub MCP服务器做了演示：在公开仓库植入恶意issue后，智能体从仓库所有者的私有仓库拉取数据并发布到公开pull request中65% 相似待验证怀疑执行过恶意版本后应默认所有敏感凭证（npm token、云服务密钥、Git/SSH凭证、CI secret）已泄露并立即轮换64% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1047236API
curl https://kongchang.com/api/v1/knowledge/claims/1047236MCP
get_claim(id=1047236)