Attaque massive de la chaîne d'approvisionnement NPM & PyPI contre TanStack, Mistral AI et plus de 170 paquets
Le 11 mai 2026, une attaque coordonnée sur la chaîne d'approvisionnement a compromis plus de 170 paquets npm et 2 paquets PyPI parmi des projets majeurs tels que TanStack, Mistral AI, UiPath, OpenSearch et Guardrails AI. L'attaquant a publié au total 404 versions malveillantes, certains paquets recevant jusqu'à 9 versions.
Cibles de haut profil
- TanStack (42 paquets, 84 versions) : tout l'écosystème de routeurs, y compris
@tanstack/react-router,@tanstack/vue-routeret@tanstack/solid-router, ainsi que leurs devtools et plugins SSR. - Mistral AI (3 paquets npm, 9 versions ; 1 paquet PyPI) :
@mistralai/mistralai(SDK principal),@mistralai/mistralai-azure,@mistralai/mistralai-gcp. Paquet PyPImistralai==2.4.6(la dernière version légitime était 2.4.5). - UiPath (65 paquets) et OpenSearch (1,3 million de téléchargements npm par semaine).
- PyPI :
guardrails-ai==0.10.1également compromis.
Fonctionnement de l'attaque
Les paquets npm contiennent un crochet preinstall malveillant qui dépose des fichiers dans .claude/settings.json, .claude/setup.mjs, .vscode/tasks.json et .vscode/setup.mjs. Il utilise ensuite la mutation GraphQL createCommitOnBranch de GitHub pour pousser des configurations empoisonnées vers les dépôts de l'utilisateur, en recherchant les motifs de jetons ghp_*, gho_*, ghs_* et npm_*.
La variante PyPI se déclenche lors de l'import (pas lors de pip install), téléchargeant un dropper Python depuis hxxps://git-tanstack[.]com/transformers.pyz et l'exécutant avec python3 /tmp/transformers.pyz.
Indicateurs de compromission (IoCs)
- C2/Exfiltration :
hxxp://filev2[.]getsession[.]org/file/ - Sonde metadata AWS :
hxxp://169[.]254[.]169[.]254/latest/meta-data/iam/security-credentials/ - Sonde Vault :
hxxp://127[.]0[.]0[.]1:8200 - Téléchargement runtime Bun :
hxxps://github[.]com/oven-sh/bun/releases/download/bun-v1.3.13/ - Domaine de téléchargement PyPI :
hxxps://git-tanstack[.]com/transformers.pyz(signalé comme phishing par Cloudflare)
Atténuation
Vérifiez votre package-lock.json ou yarn.lock pour les versions affectées. Bloquez les domaines listés dans votre pare-feu. Rotationnez tous les jetons qui ont pu être exposés. PyPI a mis en quarantaine les projets mistralai et guardrails-ai.
📖 Lire la source complète : HN AI Agents
👀 See Also
Sécurité des agents IA : Le budget des tokens détermine le risque d'exfiltration de données
Un développeur a testé des agents IA connectés à Gmail : les modèles de pointe ont détecté le phishing, les modèles intermédiaires étaient instables, et les modèles bon marché ont transmis silencieusement des e-mails malveillants. Les protections architecturales (sandboxing, permissions) n'ont arrêté aucune tentative.
mcp-scan : Scanner de sécurité pour les configurations de serveur MCP
mcp-scan vérifie les configurations des serveurs MCP pour détecter des problèmes de sécurité, notamment les secrets dans les fichiers de configuration, les vulnérabilités connues dans les packages, les modèles d'autorisations suspects, les vecteurs d'exfiltration et les attaques par empoisonnement d'outils. Il détecte automatiquement les configurations pour Claude Desktop, Cursor, VS Code, Windsurf et 6 autres clients d'IA.
Groupe de renseignement sur les menaces de Google signale la première exploitation zero-day développée par l'IA contournant l'authentification à deux facteurs
Le groupe Google Threat Intelligence a détecté la première faille zero-day entièrement développée par l'IA qui contourne l'authentification à deux facteurs dans un outil d'administration système open-source populaire, ainsi qu'un malware auto-métamorphique et des portes dérobées alimentées par Gemini.
Audit de sécurité quotidien automatisé par IA pour un magasin géré par IA
Un magasin géré par IA effectue un audit de sécurité quotidien de manière autonome, sans planification humaine ni tâches cron. L'agent IA vérifie les vulnérabilités SSRF, les risques d'injection et les lacunes d'authentification, puis génère un rapport pour examen par un développeur senior.