多款在数千个网站上使用的WordPress插件在被出售给新企业所有者后，被发现源代码中加入后门，用于向相关网站推送恶意代码，目前已从官方目录下架。

人工智能招聘初创公司 Mercor 确认受到近期 LiteLLM 项目安全事件波及，正配合第三方取证机构调查，尚未披露潜在数据泄露细节。

安全公司称，npm 上广泛使用的 JavaScript 库 Axios 曾在数小时内被植入远程访问木马，谷歌将此次供应链攻击与疑似朝鲜黑客组织关联。

SlowMist称，在OpenClaw相关插件平台ClawHub上发现472个含恶意代码的AI技能，显示出针对加密货币用户的供应链中毒攻击风险正在上升。

SlowMist披露，攻击者通过劫持使用过期域名注册的Snap Store发布者账户，向长期使用Linux的用户推送伪装为主流加密钱包的恶意更新，以窃取恢复种子短语。