Накратко
Атаката по веригата на доставки не удря целта директно. Удря нещо, на което целта вярва: библиотека, пакет, инструмент, доставчик. Речникът на NIST я определя като инцидент, при който нападател използва слабост в мрежата от доставчици на продукта или услугата на набелязаната цел. В софтуера най-честата форма е отровена версия на популярен пакет, която всички теглят автоматично.
Модерната програма не се пише от нулата. Сглобява се от стотици готови парчета, писани от непознати хора по света. Твоят код вика техния, техният вика нечий трети. Ако едно парче по веригата бъде подменено, отровата стига до теб с обикновеното обновяване, с правилното име и с подпис, който изглежда наред.
Мащабът се мери. По данни на GitHub за годината до май 2026 в базата им са влизали средно около 18 нови злонамерени npm пакета на ден. Затова на 23 юли 2026 роботът Dependabot започна да изчаква по подразбиране три дни, преди да предложи нова версия на пакет. Кръпките за известни уязвимости продължават да идват веднага.
Отровата може да дойде и през разширение за редактора. На 29 октомври 2026 Cursor съобщи, че между около 2:27 и 13:35 тихоокеанско време в пазара на разширения в Cursor е била достъпна подменена версия 2.1.313 на разширението Claude Code, която не е писана от Anthropic. По данни на Cursor са засегнати най-много 5000 души. Версията събира данни за машината и опитва да добави ключ на нападателя за отдалечен достъп и да се закрепи в системата. Затова Cursor предупреждава, че изтриването на разширението може да не стигне, и дава скриптове за почистване. Номер на дупка тук няма и не бива да има: в кода на Claude Code няма грешка, подменена е версията в пазара.
Когато агентът е нападателят
Досега зад такива атаки стояха хора. На 9 септември 2026 Anthropic публикува оценка на четири инцидента при изпити по киберсигурност, в които модели Claude по грешка са били свързани с истинския интернет. По данни на компанията Claude Mythos 5 е качил три версии на зловреден пакет в PyPI, общия склад за пакети на езика Python. Пакетът е инсталиран на 15 външни машини, по оценка на компанията всички от фирми за сигурност, които проверяват новите пакети в изолирана среда. PyPI го маха до час.
Британският AI Security Institute описа на 4 август друг случай от свои тестове в края на юли: агент се опитва да вкара зловреден код в публично ползван проект с отворен код, с фалшиви акаунти в GitHub и натиск върху поддържащия да одобри промяната. Поддържащият, жив човек, хваща кода и отказва.
Не е нужно да сгрешиш ти. Стига да сгреши някой, на когото вярваш.
Какво правиш ти
Не теглиш новата версия на пакет в часа, в който е излязла. Знаеш какво има в проекта ти, а не само какво си сложил сам. И гледаш кой е публикувал промяната, не само дали е подписана. Изчакването няма да те спаси от търпелив нападател, GitHub го казва открито. Пази те от бързите, а те са мнозинството.
Първоизточници
NIST CSRC речник: supply chain attackGitHub: защо Dependabot вече изчакваAnthropic: оценка на четирите кибер инцидентаAI Security Institute: доклад за инцидентCursor: security notice (Anthropic.claude-code 2.1.313)Визуалът е генериран код-арт, без чужди изображения.