Andrej Karpathy (X)· karpathy·· 2026-03-31精选AI 评分72
npm 上的 axios 遭供应链攻击，Karpathy 排查本机依赖
New supply chain attack this time for npm axios, the most popular HTTP client library with 300M weekly downloads.
AI 导读
Karpathy 转发安全警报称，npm 上最流行的 HTTP 客户端库 axios 遭遇新的供应链攻击，最新版本 axios@1.14.1 引入了一个当天才出现的包 plain-crypto-js@4.2.1。
推荐理由
作者以自身系统排查为例，说明未锁定版本的依赖如何让一次投毒扩散到普通用户。
来源：Andrej Karpathy (X) · x.com