Новости: цепочка поставок

Вредоносные обновления Rust-крейтов превратили сборку в доставку стилера. Проверьте Cargo.lock и кеш реестра на наличие скомпрометированных пакетов arrayref, internment и append-only-vec.

Узнайте о вредоносных версиях трех пакетов Rust (arrayref и других), опубликованных на crates.io 20 августа. Разберитесь, как бэкдор активировался при компиляции проекта. Проверьте, как инфраструктура атаки связана с кампаниями хакеров из КНДР, и следуйте рекомендациям по защите.

ИИ-агент порекомендовал инженеру Softjourn пакет с правдоподобным именем. Проверка на GitHub вскрыла ловушку slopsquatting: мало загрузок, пакет создан за несколько дней. Не доверяйте ИИ вслепую — проверяйте исходный код и загрузки перед установкой.

Google переносит производство Pixel из Китая в Индию и Вьетнам к 2027 году. Узнайте, как компания диверсифицирует цепочку поставок на фоне геополитических рисков и роста затрат, сохраняя при этом рост отгрузок смартфонов.

Утечка данных из-за атаки на цепочку поставок LiteLLM: за 40 минут скомпрометированы 434 000 CI/CD-конвейеров. Немедленно смените все учетные данные и проверьте версии 1.82.7 и 1.82.8.

Исследователи взломали официальные репозитории Anthropic, Google и OpenAI через GitHub issues. Уязвимости не в моделях, а в слое harness — коде, который даёт ИИ-агенту инструменты и доступ. Узнайте, как защитить агентов, тестировать обвязку и контролировать её цепочку поставок.

В ответ на рост цен на компоненты Apple увеличила резерв OLED-панелей с четырех до шести недель со второго квартала 2026 года. Узнайте, как компания меняет стратегию управления запасами, чтобы стабилизировать цены на фоне подорожания iPhone 18 Pro и Mac.

Атака на AI-агентов через троянизированные навыки: 1,7 млн скачиваний. Исследователи Zenity раскрыли схему заражения цепочки поставок, нацеленную на кражу ключей SSH, GitHub-токенов и конфигураций облачных сервисов. Узнайте, как защитить свои рабочие процессы с помощью новой бесплатной утилиты AI Total.

24 марта 2026 года вредоносные версии LiteLLM 1.82.7 и 1.82.8 атаковали ИИ-разработчиков через PyPI. Узнайте, как TeamPCP внедрила код через .pth-файлы, и примените три меры: фиксируйте версии, проверяйте пост-установочные хуки, ротируйте облачные токены.

Червь ChainDrop заразил 444 npm-пакета с более чем 2 млрд ежемесячных загрузок. Атака началась с мейнтейнера Keyv и использует блокчейн Ethereum для управления. Узнайте, как вредонос ворует учетные данные через ИИ-ассистентов. Немедленно ротируйте токены и включите script gating.