Tensorlake обещает изолировать код, сгенерированный LLM, в песочнице с чекпойнтами и перезапуском. Продукт нишевый, но точный: разработчик ставит npm-пакет, создаёт sandbox, отправляет туда агентский код – и среда исполнения отделена от хоста. 12 000 установок в неделю, тысяча звёзд на GitHub, лицензия Apache-2.0 – и SDK, которому доверяют как транспортному слою между приложением и изолированной средой.
8 октября 2026 года в 01:12 UTC в реестре npm появилась версия tensorlake@0.5.144. В ней лежал не только SDK. Строка "preinstall": "node lib/setup.mjs" в манифесте запускала обфусцированный загрузчик ещё до первого импорта библиотеки – момент npm install и был моментом компрометации. Через 11 минут Socket Research Team поднял флаг, но пакет уже был доступен для загрузки. Следом к анализу подключился StepSecurity: их AI Package Analyst засёк релиз по содержимому tarball-а – независимо от сигнатур и репутации, по тому, что в архиве на самом деле лежит.
За загрузчиком стоял ChainDrop – тот самый червь Shai-Hulud, августовскую волну которого мы уже разбирали: те же имена файлов (setup.mjs, Math_Symbol.js), та же схема обфускации, та же логика самораспространения через украденные публикационные токены. Но октябрьский образец принёс несколько новых ходов, меняющих класс угрозы.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local