待验证50% 置信解决方案精确时间
当 provider-utils 升级而 @ai-sdk/voyage 的 package.json 中仍写着较宽松的范围（如 ^4.0.60）且 lockfile 未刷新时，实际安装到的可能是旧版 provider-utils，从而产生版本错配问题。
1
来源数
50%
置信度
长期有效
时效性
2026/10/16
首次发现
来源
涉及实体
相关事实
待验证若开发者锁定 @ai-sdk/topaz@2.0.4，则间接获得 provider-utils@4.0.61 的行为；补丁级更新通常不改变公开接口，但可能修正边界情况下的流式处理、类型定义或兼容性问题。75% 相似待验证版本锁定文件（package-lock.json或yarn.lock）无法完全阻断供应链攻击，因为新建项目首次安装仍会拉取被污染版本，且自动化更新工具可能升级至恶意版本73% 相似待验证对于使用 @ai-sdk/typesafe-ai 的项目，3.0.18 属于低风险升级；建议留意 lock 文件中 provider 相关包版本是否被一并提升，避免多版本共存导致的类型不匹配72% 相似已验证建议将相关 @ai-sdk/* 包成组升级，因为 provider-utils 已同步到 5.0.4971% 相似待验证即使 @ai-sdk/xai 的版本声明允许向上兼容，只要锁文件未更新，实际安装的 @ai-sdk/provider-utils 仍可能是旧版本；执行 npm update 等命令才会真正改写锁文件并拉取新版本。71% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1048302API
curl https://kongchang.com/api/v1/knowledge/claims/1048302MCP
get_claim(id=1048302)