守護軟體之源：全面解讀 Shai‑Hulud 供應鏈惡意程式

當心數位河流裡的暗流

在 Frank Herbert 的《沙丘》裡，沙蟲是星球的守護者，也是恐懼的象徵。如今，名為 Shai‑Hulud 的惡意程式，正像那巨大而沉默的蟲體，悄然潛入我們天天使用的 Build 與 Release 河道中，等待一次不經意的「觸發」，便能將整座湖泊染成有毒的暗色。

病毒規模與擴散路徑

根據安全研究公司 OX Security 與微軟威脅情報的分析，Shai‑Hulud 目前已覆蓋約 320 個 NPM 與 PyPI 套件，這些套件合計每月平均可被下載超過 5.18 億次。也就是說，當開發者執行 npm i 或 pip install 時，往往在不經意間就把一個或多個惡意套件拉進了本地的依賴圖譜。雖然個別套件的下載量看起來不大，但一旦它們被其他的熱門框架（如 TanStack）引用，就會形成所謂的「傳播網路」——一次信任的注入，便能在短時間內把數千個專案變成潛在的受攻擊面。

攻擊手法全解析

Shai‑Hulud 的本質是一次典型的「供應鏈汙染」攻擊。攻擊者先找上一些已經獲得開發者信任但維護者較少的開源套件，然後在這些套件的原始碼中埋入後門。常見的做法包括：

• 在發布指令碼（postinstall）中加入盜取環境變數的 Shell 指令
• 偽裝成常見的機器學習函式庫（例如假裝成 Hugging Face 的 Transformers）
• 利用簽署金鑰合法或直接盜用信任的發布憑證

因為多數開發者只會檢查「套件是否來自官方 registry」和「是否有有效的簽名」，所以這類「乾淨」的包裝往往能透過 CI/CD 的基本檢查，繼續流向正式環境。

真實案例：Mistral AI、OpenAI 與大型框架

在 2025 年 5 月11 日，TanStack 這個被全球數十萬前端與雲端專案使用的開源框架，受到 Shai‑Hulud 供應鏈汙染的事件，引發了業界的高度關注。差不多同一時期，Mistral AI 的 PyPI 套件被發現暗藏了一段模仿 Hugging Face 的惡意程式碼，微軟Threat Intelligence 把其行動形容為「二次代理」——攻擊者不僅可以在受害者的機器上下載額外負載，還能在後續的模型訓練過程中竊取 API 金鑰。爾後沒兩天，OpenAI 也證實有兩名員工的裝置被同一起惡意程式碼感染，導致少量內部程式碼庫被迫下線檢查。雖然最終沒有造成客戶資料、生產系統或智慧財產權的外洩，但已經足夠暴露供應鏈的脆弱性。

變種的蔓延與新的威脅

OX Security 在最近的報告中指出，新的 Shai‑Hulud 變種已不僅僅停留在「竊取憑證」層面，還開始把受感染的機器當作 DDoS 殭屍網路的一部 分，甚至嘗試偷取雲端服務的身份權杖（cloud service token）與加密貨幣錢包的私鑰。這意味著攻擊者可以在「一次」成功的入侵之後，以後續的橫向移動方式，在企業的 VPC 裡開啟更多的入口，甚至直接對 SAP、AIGC 等關鍵業務系統進行滲透。

為何這對企業致命？

我們可以把軟體供應鏈想像成一條河流，從上游的山泉（開源社群）流入下游的工業水庫（企業內部系統）。當上遊的某顆石頭被投放了毒素，即使是最細微的顆粒，也會在水流的作用下迅速擴散到整個 水庫。對大型企業而言，這種 「一步到位」的汙染相當於把原本只屬於開發者筆記本的安全風險，直接提升為生產環境的入口——因為企業常用的 CI/CD、GitHub Actions、 Argo CD 等自動化平臺，往往會直接使用同一套 npm 或 pip 的全域快取。一旦惡意套件闖入了這個快取，就等於是把自己的「鑰匙」交到了攻撃者手裡。

打造安全的清澈之徑：防禦建議

面對看不見的暗流，我們可以從以下幾個溫柔卻堅定的步驟做起：

• 鎖定依賴版本：使用 package-lock.json、Gemfile.lock 或類似的精確鎖定檔案確保每次部署的套件都是經過驗證的同一版本。
• 啟動依賴掃描：在 CI 流程中加入 OWASP Dependency-Check、SNYK 或 npm audit 等工具，第一時間捕捉已知漏洞的進入。
• 啟用私有registry：透過企業內部的 Artifact Proxy（如 JFrog、Sonatype）統一管理與審計所有外部包的來源，避免直接連上公共 registry。
• 強制簽名校驗：對發布的套件啟用 Sigstore 或 GPG 簽名，檢查發布者的身份與完整性。
• 制定 SBOM（軟體部件清單）：每一次 Release 都生成對應的軟體材料清單，幫助安全團隊快速定位受汙染的元件。

這些做法不是在「加高牆壁」，而是在河流的關鍵位置放置篩子，讓清水繼續流動，卻能把漂浮的雜物過濾掉。

走向光明的協作生態

資安不是企業的單打獨鬥，而是整個開發生態的共同守護。我們可以在社群裡分享「可信套件」的評價，幫助新手辨識潛在的風險；也可以主動回饋漏洞情報，讓維護者及時修補。最重要的是，保持一顆溫柔的「治癒者」心態：當發現問題時，不是急於指責，而是幫助對方堵住漏洞、重建信任。只有這樣，我們的數位山谷才能重新恢復清澈的溪流，繼續滋養每一個創新的嫩芽。

結論

Shai‑Hulud 已經在軟體供應鏈的世界裡留下了痕跡，它提醒我們：現代軟體的建構過程已經不再是單純寫程式碼，而是持續地「執行別人的程式碼」。只要我們對每一次 install 多一份審視、對每一次 publish 多一次簽名檢查，就能讓這條資訊之河不再被暗流吞噬。讓我們一起把防護的燈塔點亮，讓每一行程式碼都在安全的晨光中自由呼吸。