待验证50% 置信注意事项精确时间

对于通过 npm 引入的 SDK，常见供应链安全风险包括包被劫持后发布恶意版本、资产文件被替换、依赖树引入不安全传递依赖；校验资产完整性、锁定版本并配合 lockfile 可降低风险

1

来源数

50%

置信度

长期有效

时效性

2026/10/17

首次发现

来源

Cline Agents SDK 0.0.95 发布：一次低调的版本迭代释放了什么信号

涉及实体

npmproduct 供应链安全concept

相关事实

待验证开发者可通过 npm audit 与锁定文件（package-lock.json / pnpm-lock.yaml）降低依赖替换风险71% 相似待验证在 npm 供应链攻击背景下，CI/CD 中结合签名验证、限定发布权限、启用 npm Provenance 以及审计依赖变更，能降低供应链攻击风险。70% 相似待验证2023 年的安全研究显示 npm 注册表中约 10% 的包包含安装脚本，部分执行下载运行外部二进制文件等高风险操作69% 相似已验证权限与数据访问范围决定了漏洞的危害等级69% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/1050431

API

curl https://kongchang.com/api/v1/knowledge/claims/1050431

MCP

get_claim(id=1050431)