待验证50% 置信事件精确时间

npm生态中的event-stream恶意包事件展示了依赖链污染的破坏力，攻击者接管小型库向下游项目注入恶意代码

1

来源数

50%

置信度

长期有效

时效性

2026/7/12

首次发现

来源

零依赖AI决策记录审计工具：构建可追溯AI系统的实践指南

hackernewshackernews2026/7/9

相关事实

待验证2021年的ua-parser-js事件和2022年的node-ipc事件证明攻击者可以通过篡改依赖包或注入恶意依赖来攻击整个下游生态70% 相似待验证2018年npm生态爆发event-stream事件，一个被广泛依赖的开源包被恶意维护者注入了窃取加密货币钱包的代码，影响数百万下载66% 相似待验证供应链攻击的危险性在于攻击的传播效应，被篡改的上游组件可能影响所有依赖它的下游系统63% 相似待验证2022年发生 node-ipc 恶意代码事件，知名开源包被植入破坏性代码61% 相似待验证被控路由器可被用于实施中间人攻击（MITM），劫持DNS解析将用户重定向至钓鱼站点61% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/489213

API

curl https://kongchang.com/api/v1/knowledge/claims/489213

MCP

get_claim(id=489213)