แท็ก

#npm

4 บทความ

ไฟล์ AGENTS.md ที่เว็บแอบดาวน์โหลดลงโฟลเดอร์ Downloads สั่ง coding agent ติดตั้งมัลแวร์ได้ — Forever Security เจอของจริงบนเครื่องลูกค้า ทดสอบซ้ำแล้ว Codex ทำตามเกิน 90% ส่วน Claude Code ถูกหลอกให้ส่ง OAuth token ราวครึ่งหนึ่ง
ช่องโหว่

ไฟล์ AGENTS.md ที่เว็บแอบดาวน์โหลดลงโฟลเดอร์ Downloads สั่ง coding agent ติดตั้งมัลแวร์ได้ — Forever Security เจอของจริงบนเครื่องลูกค้า ทดสอบซ้ำแล้ว Codex ทำตามเกิน 90% ส่วน Claude Code ถูกหลอกให้ส่ง OAuth token ราวครึ่งหนึ่ง

Forever Security รายงาน (22 ต.ค. 2026 สื่อความปลอดภัยหยิบไปรายงานต่อ 26 ต.ค.) ว่าเจอไฟล์ AGENTS.md ใน ~/Downloads ของเครื่องลูกค้า ไฟล์นี้สั่ง Codex ให้เพิ่ม MCP server ลง ~/.codex/config.toml เพื่อติดตั้งแพ็กเกจ npm อันตราย function-color เมื่อทดสอบซ้ำใน VM โดยใช้ไฟล์จริง Codex รันมัลแวร์เกิน 90% ของครั้ง ส่วนไฟล์ CLAUDE.md ที่ทีมเขียนขึ้นเองทำให้ Claude Code เปลี่ยน ANTHROPIC_BASE_URL ได้ราว 50% ของครั้ง ซึ่งพอให้ OAuth token รั่ว

· อ่าน 5 นาที
GitHub เปิด package firewall สำหรับ npm (public preview) กั้น agent และ CI ไม่ให้ติดตั้งแพ็กเกจที่เพิ่งออกหรือแอบเพิ่ม install script — พร้อมให้ gh CLI ใช้ OAuth token แบบหมดอายุเองได้แล้ว
เครื่องมือนักพัฒนา

GitHub เปิด package firewall สำหรับ npm (public preview) กั้น agent และ CI ไม่ให้ติดตั้งแพ็กเกจที่เพิ่งออกหรือแอบเพิ่ม install script — พร้อมให้ gh CLI ใช้ OAuth token แบบหมดอายุเองได้แล้ว

20 ต.ค. 2026 GitHub เปิด package firewall (public preview, ฟรีช่วงพรีวิว, เฉพาะ Enterprise Cloud และเฉพาะ npm) เป็น registry ตัวกลางที่บล็อกมัลแวร์ เวอร์ชันอายุไม่ถึง 1 วัน และเวอร์ชันที่เพิ่งเพิ่ม install script ได้ตั้งแต่ค่าเริ่มต้น วันถัดมา gh CLI v2.103.0 ก็ให้เลือกใช้ OAuth token ที่หมดอายุในไม่กี่ชั่วโมงและ refresh เองได้ — ทั้งสองอย่างตรงกับช่องโหว่ที่เพิ่งถูกใช้ในเหตุ LiteLLM

· อ่าน 4 นาที
Zod 4.6.6 บน npm ไม่ได้ติดมัลแวร์ — commit อันตรายที่ HN ตื่นตระหนกคือเหตุการณ์เมื่อ 21 ก.ย. ซึ่งถูก revert ไปแล้ว แต่ยังโผล่ในประวัติของรีลีส
การแฮ็ก

Zod 4.6.6 บน npm ไม่ได้ติดมัลแวร์ — commit อันตรายที่ HN ตื่นตระหนกคือเหตุการณ์เมื่อ 21 ก.ย. ซึ่งถูก revert ไปแล้ว แต่ยังโผล่ในประวัติของรีลีส

กระทู้ 'Zod 4.6.6 compromised by malware?' ขึ้นหน้าแรก Hacker News วันนี้ เราดาวน์โหลด tarball ของ 4.6.6 มาตรวจเองแล้ว ไม่มีไฟล์ loader และไม่มี preinstall ส่วน commit ที่ฝังตัวโหลดมัลแวร์ซึ่งใช้ Ethereum เป็นช่องทางสั่งการนั้น ถูก push ขึ้น main ตั้งแต่ 21 ก.ย. และถูก revert ภายในวันเดียวกัน แต่ยังอยู่ในประวัติ commit ระหว่าง v4.6.5 กับ v4.6.6

· อ่าน 5 นาที
Cline CLI 3.0.45 ลดขนาดติดตั้งจาก 640MB เหลือ 285MB — ด้วยการเลิกแบก SDK ของ Claude Code กับ Codex ไว้ในกล่อง
เครื่องมือนักพัฒนา

Cline CLI 3.0.45 ลดขนาดติดตั้งจาก 640MB เหลือ 285MB — ด้วยการเลิกแบก SDK ของ Claude Code กับ Codex ไว้ในกล่อง

Cline ปล่อย CLI v3.0.45 (19 ก.ค. 2026) ย้าย provider ของ Claude Code และ Codex ไปเป็น optional peer dependency ที่โหลดเมื่อต้องใช้จริง ทำให้ npm i -g cline ลดจากราว 640MB เหลือราว 285MB พร้อมเพิ่ม Kimi K3 เข้า ClinePass และถอด spawn tool ออกจากมือ teammate agent ในโหมด team runs

· อ่าน 4 นาที