Dossier shai-hulud-tensorlake-npmChaîne d’approvisionnement IAMondial
Le ver Shai-Hulud compromet une publication npm de Tensorlake
Une variante du ver Shai-Hulud (liée à ChainDrop) a atteint l'infrastructure d'agents IA lorsque la version 0.5.144 du SDK npm tensorlake a été publiée via un compte de mainteneur compromis. Socket a signalé la charge utile de vol d'identifiants 11 minutes après la publication ; la version est restée en ligne environ 1 heure 40 avant son retrait, et l'impact est inconnu.
MoyenneAttaque contre l’IAStatut: contained; impact unknownDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 8 oct. 2026
- Lieu
- Mondial
- Cible
- SDK npm de la plateforme d'agents IA Tensorlake (tensorlake 0.5.144) et développeurs l'ayant installé
- Gravité
- Moyenne
- Vérification
- Rapporté par la presse ou des chercheurs fiables
- Déclenché par
- Inconnu (variante du ver Shai-Hulud / ChainDrop)
- Type d’acteur
- Inconnu
- Secteur
- Technologie et éditeurs d’IA
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Une variante du ver Shai-Hulud (liée à ChainDrop) a atteint l'infrastructure d'agents IA lorsque la version 0.5.144 du SDK npm tensorlake a été publiée via un compte de mainteneur compromis. Socket a signalé la charge utile de vol d'identifiants 11 minutes après la publication ; la version est restée en ligne environ 1 heure 40 avant son retrait, et l'impact est inconnu.
Impact: Impact inconnu ; le logiciel malveillant a été détecté quelques minutes après sa publication.
Qui l’a déclenché
Acteur: Inconnu (variante du ver Shai-Hulud / ChainDrop)
Attribution: Lié à la famille de vers Shai-Hulud ; les opérateurs ne sont pas nommés.
Mobile: Vol d'identifiants
Comment c’est arrivé
Vecteur d’attaque: Publication npm malveillante d'un paquet Tensorlake embarquant un logiciel malveillant de vol d'identifiants.
Cause racine: Inconnue ; la compromission de Tensorlake a permis au ver de publier une version npm malveillante.
Chronologie
- Signalé par The Register
Réponse
Détection dans les minutes suivant la publication npm ; aucun autre détail sur la réponse n'est fourni.
Statut actuel: contained; impact unknown
Mises en garde de la recherche auxquelles ce cas correspond
- Observée dans des incidents réels Les systèmes d’IA deviennent eux-mêmes des cibles · International AI Safety Report
- Observée dans des incidents réels Vie privée et sécurité · MIT AI Risk Repository
Comparé aux recherches publiées par plusieurs instituts sur les risques de l’IA, sur la page Recherche et réalité.
Sources (nouvel onglet)
- The Register theregister.com
- Socket socket.dev
- Tensorlake GitHub security advisory github.com
Citer ce dossier
Le ver Shai-Hulud compromet une publication npm de Tensorlake. AI Threat Watch, dossier shai-hulud-tensorlake-npm, 8 oct. 2026. https://aithreat.io/fr/cases/shai-hulud-tensorlake-npm/
Lien permanent: https://aithreat.io/fr/cases/shai-hulud-tensorlake-npm/
Dossiers liés
Le même type d'incident, du plus récent au plus ancien.