Axios 1.14.1 comprometido con malware, apunta a flujos de trabajo de desarrollo asistidos por IA.
Ataque de cadena de suministro afecta el paquete axios
Un ataque de cadena de suministro ha comprometido la versión 1.14.1 de axios, que incorpora silenciosamente [email protected] como dependencia. Este paquete es un dropper de RAT (Troyano de Acceso Remoto) ofuscado. NPM ha retirado la versión maliciosa, pero los desarrolladores que la instalaron durante el período de vulnerabilidad pueden estar infectados.
Flujos de trabajo de desarrollo asistido por IA en riesgo
El ataque apunta específicamente a desarrolladores que utilizan asistentes de codificación con IA como Claude. La fuente señala que con la codificación mediante IA, los desarrolladores a menudo permiten que la IA maneje la instalación de paquetes sin verificar las diferencias en package.json o auditar qué dependencias se están incorporando. Los atacantes están explotando esta confianza en flujos de trabajo automatizados donde los desarrolladores crean proyectos y ejecutan instalaciones sin verificación manual.
Pasos inmediatos de detección y remediación
Ejecuta estos comandos para verificar infección:
# Verifica tu archivo de bloqueo
grep -r "plain-crypto-js" package-lock.json
grep -r "[email protected]" package-lock.json
Busca artefactos de persistencia
ls -la /library/caches/com.apple.act.mond # macOS
ls /tmp/ld* # Linux
Si encuentras el paquete malicioso:
- Regresa inmediatamente a [email protected]
- Rota todas las claves y credenciales (credenciales de AWS, claves API, etc.)
- Audita todos los archivos de bloqueo en tus proyectos
Medidas preventivas
La fuente recomienda fijar versiones y auditar manualmente qué dependencias están incorporando los asistentes de IA. Los desarrolladores deberían reducir la velocidad en instalaciones automatizadas y realmente leer qué paquetes se están agregando a sus proyectos.
📖 Read the full source: r/ClaudeAI
👀 Ver también
OpenClaw completa una auditoría de seguridad con Trail of Bits a través de Patch the Planet de OpenAI
OpenClaw completó una auditoría de seguridad con Trail of Bits en el marco de la iniciativa Patch the Planet de OpenAI, que abarcó qué sucede cuando los permisos de un agente cambian a mitad de tarea. Todos los problemas accionables están corregidos en versiones estables.
Agente Hush: Herramienta de código abierto evita que los agentes de IA de programación filtren datos confidenciales
Agent Hush es una herramienta de código abierto que detecta datos sensibles antes de que salgan de tu máquina, creada después de que el agente de programación con IA de un desarrollador filtrara claves API, IPs de servidores e información personal a un repositorio público de GitHub mientras construía un proyecto de seguridad.
Anuncio malicioso de Google apunta a la instalación de código de Claude
Un anuncio malicioso de Google aparece como el primer resultado en las búsquedas de 'install claude code', intentando engañar a los usuarios para que ejecuten comandos sospechosos en la terminal. El anuncio seguía activo hasta el 15 de marzo de 2026, y el autor evitó por poco ejecutar el código.
Linux Kernel Propone Sistema de Identidad Descentralizado para Reemplazar la Red de Confianza de PGP
Los mantenedores del kernel de Linux están trabajando en una capa de identidad descentralizada llamada Linux ID para reemplazar la actual red de confianza PGP. El sistema utiliza identificadores descentralizados (DID) al estilo W3C y credenciales verificables para autenticar a los desarrolladores sin requerir sesiones presenciales de firma de claves.