11 月 10 日至 12 日，安全机构 Aikido Security 与 SafeDep 披露了一起席卷 GitHub 的特大软件供应链劫持事件（代号 wfx / wfx-loot）：攻击者利用 4,837 个被盗的 GitHub 开发者与机器人令牌，向 61,764 个仓库发起 wfx-docs 试探性 PR，并在 8,093 个仓库中植入了约 1,500 行的 CI 凭据窃密脚本。该脚本不仅在构建和本地 npm install 时搜刮全部 GitHub Secrets、运行器内存中的大模型密钥与本地私钥，还…