待验证50% 置信事实精确时间

依赖劫持（dependency confusion）是攻击者在公共仓库发布与企业内部私有包同名但版本号更高的恶意包，利用包管理器优先拉取公共仓库的默认行为完成渗透

1

来源数

50%

置信度

长期有效

时效性

2026/10/1

首次发现

来源

GitHub Universe 2026：10场值得关注的技术演讲前瞻

涉及实体

dependency confusionconcept

相关事实

待验证依赖投毒攻击者可向公共包注册表上传与私有包同名但版本号更高的恶意包，诱使构建系统自动拉取79% 相似待验证依赖混淆攻击是攻击者利用包管理器解析依赖时优先检查公共源的特性，抢注企业内部使用的包名以诱导构建系统下载恶意代码78% 相似待验证攻击者可以通过在依赖包中植入恶意代码（供应链攻击）将敏感信息通过合法的出站通道带出沙箱68% 相似待验证攻击者常借助混淆技术隐藏恶意脚本诱导用户复制粘贴运行，这类手法被称为剪贴板劫持或社会工程学注入67% 相似待验证拥有文件系统写权限、网络访问权限和命令执行权限的Agent遭受提示词注入可能引发数据泄露、系统破坏或横向渗透66% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/965542

API

curl https://kongchang.com/api/v1/knowledge/claims/965542

MCP

get_claim(id=965542)