Một sự cố an ninh mạng nghiêm trọng đã làm rung chuyển hệ sinh thái JavaScript và Python, khiến 4 triệu nhà phát triển bị ảnh hưởng bởi phần mềm độc hại. Câu chuyện bắt đầu khi Marcus Chen, người duy trì gói left-justify (847 triệu lượt tải mỗi tuần), bị mất laptop và token 2FA. Anh vô tình truy cập trang giả mạo 'yubikey-official-store.net' do AI Overview hiển thị sai, và nhập thông tin đăng nhập npm.

Kẻ tấn công đã xuất bản phiên bản độc hại của left-justify, đánh cắp credentials từ .npmrc, .pypirc, ~/.cargo/credentials, ~/.gem/credentials. Sau đó, chúng chiếm quyền kiểm soát thư viện Rust vulpine-lz4 (phụ thuộc của cargo) và chèn script build.rs tải mã độc khi chạy trên môi trường CI/CD. Hậu quả: khoảng 4 triệu nhà phát triển toàn cầu vô tình cài phần mềm độc hại qua Python build tool snekpack.

Bài học cho hệ sinh thái mã nguồn mở

Sự cố kéo dài 73 giờ, được phân loại từ 'Critical' lên 'Catastrophic', rồi bất ngờ kết thúc khi một worm khai thác tiền điện tử (không liên quan) vô tình vá lỗ hổng. Đây là lời cảnh tỉnh cho cộng đồng AI và open source: các gói phụ thuộc tưởng chừng vô hại có thể trở thành vector tấn công nguy hiểm. Cộng đồng bảo mật đang kêu gọi tăng cường kiểm tra tự động để phát hiện đánh cắp thông tin xác thực và script độc hại trong quy trình phát triển phần mềm.

Sự kiện này cho thấy lỗ hổng không chỉ nằm ở code, mà còn ở quy trình xác thực người dùng, đặc biệt khi AI Overview có thể tạo ra kết quả tìm kiếm độc hại. Bài học cho mọi người: luôn kiểm tra URL trước khi nhập mật khẩu, và không bao giờ tin tưởng mù quáng vào các gói thư viện phổ biến.