npm

Bằng chứng (16)

• 4GitHub Blog·1/10/2026research
  10 bài nói tại GitHub Universe về bộ nhớ tác tử, đánh giá, quyền truy cập và bảo mật npm

  Bài viết trên GitHub Blog giới thiệu 10 phiên thảo luận tại GitHub Universe 2026, tập trung vào các vấn đề thực tiễn của nhà phát triển như kiểm chứng mã do tác tử tạo ra, tối ưu bộ nhớ tác tử, bảo vệ phụ thuộc phần mềm và kiểm soát quyền truy cập cho các máy chủ MCP được lưu trữ. Danh sách cũng có các nội dung về phương pháp đánh giá, nguồn gốc gói JavaScript và xây dựng phần mềm hoạt động tốt khi kết nối Internet không ổn định. Đây là phần giới thiệu chương trình chứ không phải thông báo sản phẩm, nhưng cho thấy các ưu tiên hiện tại trong phát triển phần mềm có hỗ trợ AI và bảo mật chuỗi cung ứng.

• 7The New Stack·26/9/2026security
  Bảo mật tác tử chuyển từ kiểm soát truy cập sang kiểm soát hành động

  Bài viết cho rằng quản lý định danh và truy cập là cần thiết nhưng chưa đủ để bảo mật tác tử, vì tác tử có thể vòng qua các kiểm soát ở biên bằng cách chọn đường đi khác. Bài viết đề xuất kiểm soát từ bên trong ở lớp agent harness, nơi mỗi hành động được kiểm tra trước khi thực thi theo chính sách, thẩm quyền và hệ thống đích.

• 7InfoQ·7/9/2026product_launch
  vlt 1.0 ra mắt như bản thay thế npm tương thích trực tiếp, tăng cường bảo mật

  vlt 1.0, do nhóm phát triển npm ban đầu tạo ra, được phát hành như một công cụ thay thế trực tiếp cho npm. Phiên bản này bổ sung cài đặt theo giai đoạn để tránh tự động chạy script, đồ thị phụ thuộc có thể truy vấn với hơn 60 bộ chọn, và các registry được quản lý nhằm chặn gói độc hại.

• 10The New Stack·31/8/2026security
  Sâu Shai-Hulud biến việc phát hành npm thành tấn công chuỗi cung ứng

  Bài viết mô tả chuỗi tấn công chuỗi cung ứng trên npm có khả năng tự lây lan, bắt đầu từ Shai-Hulud và các biến thể sau đó, trong đó mã độc đánh cắp thông tin xác thực, phát hành lại gói đã bị cài cắm và lan rộng mà không cần thao tác của con người. Biến thể mới nhất, ChainDrop, lợi dụng quy trình phát hành hợp lệ có chữ ký và xác nhận SLSA hợp lệ để vượt qua cơ chế kiểm tra tin cậy, đồng thời dùng smart contract trên Ethereum cho hạ tầng điều khiển.

• 5The New Stack·31/8/2026research
  TOON có thể giảm mức tiêu thụ token trong công cụ lập trình AI

  Bài viết cho rằng chi phí token của một tác nhân lập trình không chỉ phụ thuộc vào lựa chọn mô hình và prompt, mà còn vào cách công cụ phát triển định dạng dữ liệu đầu ra. Bài viết nêu Token-Oriented Object Notation (TOON) như một lựa chọn thay thế JSON, giữ nguyên dữ liệu nhưng gọn hơn cho các tập dữ liệu đồng nhất lớn, từ đó có thể giảm mức tiêu thụ token trong quy trình làm việc của tác nhân.

• 8InfoQ·14/8/2026security
  npm 12 tắt mặc định các script khi cài đặt

  npm 12 áp dụng mặc định bảo mật chặt hơn khi yêu cầu người dùng phê duyệt rõ ràng các script trong quá trình cài đặt, bao gồm cả các bước build ngầm. Bản cập nhật này cũng hạn chế các nguồn ngoài registry, thể hiện xu hướng ưu tiên cơ chế tin cậy tường minh khi cài gói.

• 9The New Stack·7/8/2026security
  Cuộc tấn công chuỗi cung ứng npm che giấu mã độc bằng xác nhận nguồn gốc

  Các nhà nghiên cứu an ninh cho biết một cuộc tấn công chuỗi cung ứng npm đã ảnh hưởng hơn 400 gói, bao gồm các dự án liên quan đến Keyv và Cacheable. Kẻ tấn công dùng thông tin đăng nhập của nhà duy trì bị đánh cắp cùng các lifecycle hook để phát tán mã độc, cho thấy xác nhận nguồn gốc không đảm bảo tính toàn vẹn của gói nếu quy trình tin cậy đã bị xâm nhập.

• 7InfoQ·7/8/2026security
  npm bổ sung cơ chế phát hành theo giai đoạn với bước duyệt của con người

  npm đã giới thiệu cơ chế phát hành theo giai đoạn, yêu cầu người duy trì phê duyệt trước khi một phiên bản gói có thể được cài đặt. Quy trình phát hành mới có thêm bước chờ duyệt kèm xác thực hai yếu tố, và tính năng này khả dụng trên npm CLI 11.15.0+ và Node.js 22.14.0+.

• 6Hacker News·6/8/2026research
  Người dùng bỏ sót nhiều mối đe dọa khi duyệt lệnh của tác nhân AI

  Một trò chơi trình duyệt mô phỏng việc duyệt hoặc từ chối lệnh của tác nhân lập trình AI đã ghi nhận dữ liệu từ hơn 40.000 lượt chơi và 409.000 quyết định. Kết quả cho thấy người chơi bỏ sót khoảng một phần ba mối đe dọa, đặc biệt với các lệnh nhìn quen thuộc như npm run analyze dù bên trong có thể chứa hành vi độc hại trong script của dự án.

• 9Hacker News·4/8/2026security
  Keyv và các gói liên quan bị tấn công chuỗi cung ứng npm Shai-Hulud đang diễn ra

  Nhiều gói npm, bao gồm các mô-đun liên quan đến Keyv, được báo cáo đã bị xâm phạm trong một cuộc tấn công chuỗi cung ứng đang diễn ra mang tên Shai-Hulud. Sự việc cho thấy mã độc có thể lan rộng qua các phụ thuộc mã nguồn mở được sử dụng phổ biến và ảnh hưởng đến các dự án phụ thuộc phía sau.

• 7Hacker News·30/7/2026product_launch
  CodePen ra mắt CodePen 2.0

  CodePen đã ra mắt CodePen 2.0, được mô tả là một bản tái xây dựng lớn với khối lượng công việc còn nhiều hơn cả phiên bản đầu tiên. Bài viết nêu các quy trình mới như tổ chức JavaScript theo file trong Pen, hỗ trợ gói npm qua package.json, cộng tác trực tiếp, mời đồng biên tập và bổ sung MJML như một loại block mới. Các ví dụ đầu sau khi ra mắt cho thấy có thể cùng làm demo và xây dựng, triển khai các website nhỏ ngay trong trình soạn thảo.

• 8InfoQ·28/7/2026security
  GitHub tăng cường bảo vệ npm và Actions trước tấn công chuỗi cung ứng

  GitHub cho biết hãng đã triển khai nhiều thay đổi để ngăn chặn các kỹ thuật tấn công chuỗi cung ứng phổ biến nhắm vào npm và GitHub Actions. Các cập nhật gồm cơ chế bảo vệ tạm thời cho tài khoản npm có mức độ ảnh hưởng cao, mặc định an toàn hơn cho actions/checkout, kiểm soát tác nhân kích hoạt workflow và quyền truy cập cache chỉ đọc đối với các lần chạy Actions không đáng tin cậy.

• 4Hacker News·23/7/2026open_source
  98.css mang phong cách giao diện Windows 98 lên web

  98.css là một hệ thống thiết kế chỉ dùng CSS để tái tạo giao diện cổ điển kiểu Windows 98. Dự án nhấn mạnh HTML ngữ nghĩa và khả năng truy cập, đồng thời có thể dùng với các framework như React hoặc JavaScript thuần mà không cần bổ sung JavaScript riêng.

• 8The New Stack·1/7/2026security
  Codecov cho thấy đường ống CI có thể trở thành bề mặt tấn công

  Bài viết cho rằng vụ xâm nhập Codecov không phải sự cố đơn lẻ mà là ví dụ cho xu hướng rộng hơn, trong đó kẻ tấn công nhắm vào đường ống xây dựng và triển khai phần mềm. Bài viết dẫn các vụ tấn công chuỗi cung ứng sau đó như XZ Utils và polyfill.io để cho thấy hệ thống CI/CD và các cơ chế phân phối đáng tin cậy có thể bị lợi dụng để đánh cắp bí mật hoặc phát tán mã độc trên quy mô lớn.

• 7The New Stack·30/6/2026security
  Aikido mua Root để đưa bản vá bảo mật mã nguồn mở về phiên bản đang dùng

  Aikido Security đã mua lại Root với giá 70 triệu USD và sẽ tích hợp công nghệ vá lỗi trực tiếp vào phiên bản thư viện đang chạy thành sản phẩm mới mang tên Aikido Libraries. Công ty cho biết sẽ miễn phí backport các bản vá cho những lỗ hổng đang bị khai thác trong danh mục KEV của CISA trên các hệ sinh thái như npm, PyPI và Maven. Thương vụ nhằm rút ngắn khoảng cách giữa việc phát hiện và khắc phục lỗ hổng mà không buộc người dùng phải nâng cấp ngay.

• 7OpenAI Blog·13/5/2026security
  OpenAI phản ứng trước vụ tấn công chuỗi cung ứng npm nhắm vào TanStack

  OpenAI cho biết họ đã phản ứng trước vụ tấn công chuỗi cung ứng npm "Mini Shai-Hulud" nhắm vào TanStack bằng cách củng cố hệ thống và bảo vệ các chứng chỉ ký số. Công ty cũng yêu cầu người dùng macOS cập nhật ứng dụng OpenAI trước ngày 12/6/2026 như một phần biện pháp giảm thiểu rủi ro sau sự cố này.