Tensorlakes npm-SDK wurde vergiftet, um KI-Agent-Zugangsdaten zu stehlen – und um Ihr Home-Verzeichnis zu löschen, wenn Sie das Token widerrufen haben

Im Jahr 2026, eine kompromittierte Version von tensorlake — das npm-SDK für Tensorlakes Plattform, die nicht vertrauenswürdigen, LLM-generierten Code in isolierten Sandboxes ausführt — erreichte die npm-Registry. Version 0.5.144 wurde veröffentlicht um 01:12:07 UTC; die Forscher von Socket sagen, sie hätten es etwa elf Minuten später gemeldet. Es war keine autorisierte Veröffentlichung. Tensorlake gibt an, dass der Angreifer Code direkt in das GitHub-Repository des Unternehmens gepusht und über den eigenen Release-Workflow des Projekts veröffentlicht hat, sodass das Paket trug gültige npm-Provenienz — signierte Bescheinigung, die zeigt, wo es gebaut wurde, für Quellcode, der bereits kompromittiert worden war. Das Unternehmen sagt, die Version sei live gewesen für etwa 1 Stunde 40 Minuten, von 01:12 bis 02:54 UTC, bevor npm sie entfernte.

Der Payload benötigte keinen Import und keinen laufenden Agenten. Ein preinstall-Hook im Paketmanifest führte node lib/setup.mjs aus, einen obfuskierten Loader, der die Bun-Laufzeit auf den Rechner ablegte und sie verwendete, um lib/Math_Symbol.js auszuführen, einen 856.501 Byte großen Credential-Stealer und selbstverbreitenden Wurm. Wer eine einfache Installation dieser einen Version ausführte, führte ihn aus. Weil es das latest-Tag des Pakets war, löste eine Standardinstallation auf genau diese Version auf, solange sie live war.

Was diesen Datensatz bewahrenswert macht, ist nicht die Größe der Nutzlast – die Shai-Hulud-Familie wurde schon zuvor dokumentiert. Es ist die Zielliste. Neben npm- und GitHub-Tokens, AWS-Anmeldedaten, Kubernetes- und Vault-Secrets, SSH-Schlüsseln, .env-Dateien, Browser-Passwörtern und Kryptowährungs-Wallets sammelte dieser Build gezielt KI-Entwicklungstool-Konfiguration und MCP-Dateien – diejenigen, die mit Claude Code, Cursor, Kiro, Windsurf und Zed verbunden sind, laut Socket. Es schrieb außerdem seine eigenen .claude/settings.json und .vscode/tasks.json in Repositories, die es erreichen konnte, sodass der Code erneut ausgeführt würde, wenn ein Entwickler dieses Projekt das nächste Mal in Claude Code oder VS Code öffnete. Es ist ein Supply-Chain-Angriff, der direkt auf die Maschinen abzielt, auf denen Menschen Agenten bauen.

Wie das Release aus dem Konto eines Maintainers entkam

Socket, SafeDep und Aikido haben jeweils am 8. Oktober ihre eigene Analyse veröffentlicht, und ihre Darstellungen des Mechanismus stimmen überein. Die Vertrauensstufe des Archivs für diesen Eintrag ist A, er ist nicht als umstritten markiert, und nichts in den Quellen Gefundenes widerspricht einer dieser Darstellungen.

Die Analyse von SafeDep führt acht Commits auf denmain-Branch des Repositorys zwischen 01:20 und 03:57 UTC am 7. Oktober zurück, die einem Administratorkonto des Repositorys zugeschrieben und über die GitHub-Weboberfläche vorgenommen wurden. Der Commit, den das Archiv als den ersten bösartigen Commit ausweist, ist 41b38f0, eine Revision mit vier Dateien vom 7. Oktober um 03:44:48 UTC, deren Nachricht "Add files via upload" lautet und die GitHubs verified-Signatur trägt — GitHub signiert Commits, die im eigenen Web-Editor erstellt werden, sodass "verified" die Bearbeitungsoberfläche belegt, nicht die Person. Dieser Commit berührte keine Dateien außer typescript/lib/Math_Symbol.js und typescript/lib/setup.mjs, laut GitHub-API: die Nutzlast und sonst nichts.

SafeDep bietet eine Deutung des Verhaltens des Betreibers an, die als eigene Schlussfolgerung gekennzeichnet ist: Die erste Bearbeitung des Preinstall-Hooks brach die JSON-Syntax der Datei, und neunzehn Minuten später folgte ein Reparatur-Commit, was nach seiner Beschreibung damit vereinbar ist, dass eine Person Dateien in einem Browser bearbeitet und nicht eine skriptgesteuerte Pipeline. Nichts, was von Socket, SafeDep, Aikido, StepSecurity oder Tensorlake veröffentlicht wurde, nennt die Methode, mit der das Konto des Maintainers übernommen wurde.

Der Angreifer benötigte kein npm-Token. SafeDep berichtet, dass das Konto den publish_npm.yaml-Workflow des Projekts am 8. Oktober um 00:08 UTC manuell gestartet hat; das Build-Log zeigt die Payload-Dateien im veröffentlichten Tarball. Das Release nutzte npm trusted publishing, und die tensorlake-native-* Schwesterpakete, die aus demselben Lauf veröffentlicht wurden, tragen gültige SLSA-Provenienz — eine Provenienz, die für einen Build aus vergiftetem Quellcode tatsächlich gültig ist. Das Release ging zwölf Minuten nach dem Start des Workflows online.

Das Archiv belegt, dass das Repository etwa 20 Stunden lang kompromittiert war, bevor die Veröffentlichung ausgelöst wurde — die Lücke, die die untenstehende Zeitachse Commit für Commit aufzeigt — was mit Tensorlakes eigener Aussage übereinstimmt, dass der Angreifer „durch unseren eigenen Release-Workflow“ veröffentlichte.

Was die Payload tat, sobald sie ausgeführt wurde

Die Bewertung von Socket identifiziert das Sammeln über lokale Dateien, CI-Umgebungen, Kubernetes- und Vault-Quellen hinweg sowie Exfiltration, Persistenz und die Ausführung von remote bereitgestelltem Code. SafeDep reproduzierte die dekodierte Nutzlast: lib/setup.mjs lädt Bun 1.3.13 aus dem offiziellen GitHub-Release herunter und verwendet es, um den Wurm auszuführen, und es beendet sich auf CI-Runnern — das Ziel ist eine Entwicklermaschine, kein Build-Agent. SafeDep fand außerdem, dass die Nutzlast eine einfache Kopie desselben Loaders enthält, die sie in andere Pakete und Repositories einschleust.

Die Nutzlast verwendet drei Obfuskationsebenen, die SafeDep ohne Ausführung der Probe dekodierte: ein Obfuscator-String-Array, eine benutzerdefinierte Chiffre mit dem Salt svksjrhjkcejg — identisch mit der, die im früheren keyv-Kompromiss — und AES-256-GCM über elf eingebettete Dateien, einschließlich Skripten, Hooks und zwei RSA-Public-Keys. Ihre erste Zeile trägt das Build-Tag WORMTAG='tensrlake', falsch geschrieben, wodurch SafeDep diesen Build von einer anhaltenden Reinfektion unterscheidet.

Über die KI-Tool-Konfiguration hinaus ist die Sammelliste breit und spezifisch: ~/.claude.json und ~/.kiro/settings/mcp.json für Agent-Einstellungen; SSH-Schlüssel, Cloud-CLI-Dateien, .npmrc, .env, Docker- und Kubernetes-Dateien sowie Shell-Verlauf; wallet.dat plus Exodus-, Electrum- und Ledger-Live-Daten und Browser-Wallet-Erweiterungen wie MetaMask und Phantom; AWS STS, SSM Parameter Store und Secrets Manager; GitHub-Actions-Secrets, ausgelesen aus dem Speicher des Runner.Worker-Prozesses; und Kubernetes-Service-Account-Tokens und Vault-Tokens. Es lud eine plattformspezifische Binary von iseekaigogo[.]com/hbd/<platform> und führte sie mit den Argumenten „dump -b all -c password -f json“ aus — Argumente, die zum Tool HackBrowserData passen, wobei SafeDep anmerkt, dass die Binary selbst nicht wiederhergestellt wurde, und die Identifizierung als Schlussfolgerung einstuft. Der Wurm, so fügt SafeDep hinzu, beendet sich bei russischen Locales.

Die Persistenz ist beabsichtigt. Socket schrieb über die Nutzlast: „Diese Kombination erweitert das Risiko über einen einzelnen gestohlenen API-Schlüssel hinaus“, und fügte hinzu, dass „Persistenz den Angreiferzugriff aufrechterhalten kann, nachdem die betroffene Abhängigkeit entfernt wurde“. SafeDep berichtet, dass der Wurm Claude-Code- und VS-Code-Hook-Dateien als Git-Autor claude committet und einen „Run Copilot“-Workflow platziert, der alle Repository-Geheimnisse ausgibt und anschließend den Lauf und den Branch löscht. Der Tensorlake-Hinweis rät Entwicklern, die ihre Logs überprüfen, nach einem Branch namens dependabot/github_actions/format/setup-formatter und nach Commits, die unter derselben Identität verfasst wurden, zu suchen.

Die Verbreitung läuft über gestohlene Tokens statt über eine zweite Schwachstelle. Socket zufolge zählt der Wurm die Pakete auf, die mit der Veröffentlichungsidentität eines Opfers verknüpft sind, erstellt Sigstore-Provenienz und veröffentlicht vergiftete Versionen erneut. SafeDep ergänzt das Detail, dass er innerhalb von CI eine Git-Abhängigkeit hinzufügt und seine Ausgabe mit Fulcio und Rekor signiert – sodass die Provenienz des Pakets, das er als Nächstes veröffentlicht, ebenso gültig ist wie die Provenienz von 0.5.144 es war.

Die zwanzig Stunden vor der Veröffentlichung

Die Lücke zwischen dem ersten bösartigen Commit und der Veröffentlichung ist der Teil der Zeitachse, der erklärt, wie ein vergiftetes Paket dazu kam, eine gültige Provenienz zu tragen. Alle Zeiten sind UTC; die Commit-Zeiten stammen von SafeDep und der GitHub API, und die Zeitpunkte für Veröffentlichung, Entfernung und Advisory stammen von Tensorlake.

Zusammengenommen: Die Payload-Dateien landeten am 7. Oktober im Hauptzweig des Repositorys, die Version wurde an jenem Morgen um 03:57 auf 0.5.144 gesetzt, und nichts wurde veröffentlicht, bis ein Konto am nächsten Tag um 00:08 den Release-Workflow von Hand startete. Der kompromittierte Quellcode lag etwa zwanzig Stunden im Zweig, bevor die eigene Pipeline des Projekts ihn baute. Das ist der gesamte Angriff auf den Release-Pfad – keine gefälschte Attestierung, kein erneut veröffentlichtes Tarball. Die Provenienz war korrekt bezüglich eines Builds von Code, der nie im Zweig hätte sein dürfen.

Der Totmannschalter

Der Teil dieses Vorfalls, für den es in früheren npm-Kompromittierungen keinen Präzedenzfall gibt, ist das, was passiert, nachdem ein Opfer korrekt reagiert hat. Wenn das gestohlene GitHub-Token zu einem Konto ohne Organisationen gehört, installiert der Wurm – wie SafeDep berichtet – gh-token-monitor: einen Dienst, der api.github.com/user mit diesem gestohlenen Token 24 Stunden lang alle 60 Sekunden abfragt. Wenn GitHub einen 40x zurückgibt – wie es in dem Moment geschieht, in dem das Token widerrufen wird –, führt der Monitor einen vom Angreifer bereitgestellten Handler aus und löscht das Home-Verzeichnis des Benutzers.

Socket beschreibt dieselbe Komponente als eine, die einen PowerShell-Monitor verwendet, der durch eine geplante ONLOGON-Aufgabe bestehen bleibt, einen vom Angreifer bereitgestellten Handler über Invoke-Expression ausführt, und merkt an, dass der Code die wörtliche Zeichenkette „IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner“ enthält, die in früheren Shai-Hulud-Wellen zu sehen war. SafeDep nennt den Handler rm -rf ~/. Socket formuliert ausdrücklich, dass dies unabhängig davon ausgelöst wird, wo der Widerruf stattfindet; der Monitor ist lokal, der Widerruf nicht. Alle vier Quellen – Socket, SafeDep, StepSecurity und Tensorlakes eigener Sicherheitshinweis – geben dieselbe Reihenfolge der Vorgänge an: zuerst den Monitor entfernen, dann widerrufen.

Was ist gesichert, und was ist nur erschlossen?

Das Archiv verzeichnet keinen bestätigten Schaden für diesen Eintrag, und die Quellen stützen dies, statt ihm lediglich nicht zu widersprechen.

• Tensorlake gibt an, dass die Version nicht genutzt wird.In seiner Advisory heißt es, das Unternehmen überwache die SDK-Nutzung anhand von User-Agent-Headern und habe „seit der Veröffentlichung keine Nutzung dieser Version festgestellt“. Das ist eine Herstellerangabe über die eigene Telemetrie, keine geprüfte Zahl.

• Die Download-Zahl ist keine Infektionszahl.Socket gibt für das Paket etwa 12.000 wöchentliche Downloads an und merkt an, dass dies die Gesamtnutzung des Pakets beschreibt, nicht Downloads der bösartigen Version; SafeDep nennt etwa 106.000 monatliche Downloads für dasselbe Paket. Keines von beidem ist ein Beleg dafür, dass 0.5.144 irgendwo ausgeführt wurde. Das von Socket markierte Release-Fenster und das Zwei-Stunden-Fenster von Tensorlake passen zu einer Version, die entfernt wurde, bevor sie sich verbreiten konnte.

• Die eigenen Fehler der Payload könnten ihre Verbreitung eingeschränkt haben. SafeDep fand zwei: Der npm-Verbreitungspfad benötigt ./dist/Math_Symbol.js auf der Festplatte und stoppt ohne sie, und der eingeschleuste Loader sucht nach ai_init.js, während der Wurm Folgendes schreibt: math_init.js. SafeDep bezeichnet diese Befunde als Einschränkungen der Verbreitung, und der Artikel behandelt sie als Lesart einer Analyse des Codes, nicht als Garantie dafür, dass sich nichts verbreitet hat.

• Die Provenienz-Attestierung ist echt. Dies ist keine umstrittene Behauptung: npm-Provenienz zeichnet auf, wo ein Paket gebaut wurde und durch welchen Workflow, und in diesem Fall zeichnete sie die Wahrheit auf — den eigenen Release-Workflow des Projekts, der vergifteten Quellcode baute. Der Sicherheitshinweis von Tensorlake sagt es wortwörtlich: „das Paket trägt eine gültige npm-Provenienz“. Socket formuliert denselben Punkt unmissverständlich, wenn es anmerkt, dass Provenienz „sagt, wo ein Paket gebaut wurde. Sie sagt nicht, dass der Code sicher ist.“

Mehrere kursierende Details sind Behauptungen aus einer Einzelanalyse und sollten auch so gelesen werden. Der genaue Mechanismus, mit dem der Angreifer das Konto des Maintainers erlangte, wurde von keiner der untersuchenden Firmen und auch nicht von Tensorlake veröffentlicht. Die Ethereum-Vertragsadresse und ihre Rolle bei der Auflösung des Endpunkts erscheinen in den Darstellungen von SafeDep und Socket — Socket zufolge löst die Payload ihren Endpunkt über einen Ethereum-Vertrag auf, der rund 30 öffentliche RPC-Endpunkte mit einem GitHub-Fallback verwendet, während SafeDep die RPC-Zahl mit 35 angibt und berichtet, dass der Vertrag am 8. Oktober iseekaigogo.com zurückgab — und Tensorlake bestätigt den Endpunkt und den Vertrag in seinem Advisory. Die genaue RPC-Zahl unterscheidet sich zwischen den beiden Berichten; das Design nicht.

Eine Lücke in der öffentlichen Dokumentation sollte klar benannt werden. Keine der für diesen Artikel herangezogenen Quellen berichtet von einer bestätigten nachgelagerten Infektion – also einem weiteren Paket oder Repository, das der Wurm mit den aus diesem gestohlenen Zugangsdaten vergiftet hätte. Der Verbreitungscode existiert, und SafeDep hat ihn gelesen; ob er ein zweites Opfer gefordert hat, ist unbekannt.

Was hat sich danach geändert?

Die Reaktion war schneller und koordinierter als der Vorfall.

• Die Version ist nicht mehr verfügbar. Laut Tensorlake war sie am 8. Oktober von 01:12 bis 02:54 UTC live; SafeDep berichtet, dass npm sie entfernt hat. Bei einer direkten Abfrage der npm-Registry am 10. Oktober für diesen Artikel, 0.5.144 erscheint nicht mehr unter den veröffentlichten Versionen des Pakets, und das neueste Tag des Pakets ist 0.5.148. Der Sicherheitshinweis von Tensorlake verweist Entwickler auf 0.5.143 als letzte nicht betroffene Version.

• Der Sicherheitshinweis wurde mit einem Fix veröffentlicht. Im Sicherheitshinweis GHSA-8g63-53c9-65j2 von Tensorlake heißt es, dass die PyPI- und crates.io-tensorlake-Pakete und die tensorlake-CLI nicht betroffen waren – nur das npm-Paket war betroffen – und dass die Versionen 0.5.143 und früher nicht betroffen sind. SafeDep berichtet, dass die Maintainer den Quellcode im Pull Request #1016 zurückgesetzt und veröffentlichten 0.5.145.

• Der Offenlegungs-Thread ist ungewöhnlich vollständig.StepSecuritys Researcher Ashish Kurmi eröffnete GitHub-Issue #1014 am 8. Oktober um 01:22:02 UTC — etwa zehn Minuten nach der Veröffentlichung — und verwies dabei auf StepSecuritys eigene Analyse dessen, was das Unternehmen den „Hostage-Token“-Wurm nennt. Aikidos Oliver Smith kommentierte, dass die Payload in Commit 41b38f0 eingeführt worden sei, und identifizierte sie als neuen Shai-Hulud-Informationsdieb. Maintainer David Lorenzo — die im npm-Paket als calavera aufgeführte Maintainer-Identität — antwortete am 9. Oktober mit der Bestätigung der Sicherheitsmitteilung und schloss das Issue am selben Tag als erledigt. Der Titel des Issues selbst folgt den Beweisen: Er begann als Bericht über etwas „möglicherweise Bösartiges“ und wurde bis zu seiner Schließung dahingehend umbenannt, die Payload ohne Einschränkung als bösartig zu beschreiben.

• Die Kampagne, zu der dies gehört, ist größer als dieses Paket. Socket, SafeDep und Aikido verorten das Tensorlake-Release allesamt in der ChainDrop-/Mini-Shai-Hulud-Welle, die erstmals Anfang August 2026 dokumentiert wurde und deren npm-Opfer keyv, cacheable und verwandte Pakete umfassten. Der Sicherheitshinweis von Tensorlake besagt dasselbe und nennt Socket, SafeDep und Aikido.

Socket rät allen, die die Version installiert haben, den Host als kompromittiert zu betrachten: Prüfen Sie Lockfiles, Manifeste und Build-Logs auf die Version; entfernen Sie den gh-token-monitor-Dienstbevor Sie ein Token widerrufen; rotieren Sie dann die Anmeldeinformationen von einem sauberen Rechner. Tensorlakes Advisory fügt dieselbe Reihenfolge hinzu und schlägt vor, Paketregistrierungen und Repositories, in die die offengelegten Token schreiben könnten, auf unerwartete Releases zu überprüfen. Aikidos Bericht empfiehlt, ignore-scripts=true in der .npmrc zu setzen, um Install-Hooks zu blockieren und jede Maschine, auf der der Hook ausgeführt wurde, als vollständig kompromittiert zu behandeln.

Dies ist ein Eintrag, der von anderen gemeldet und hier mit Verweis auf sie zitiert wird. Die übrigen dokumentierten Agentenvorfälle, jeweils mit eigenen Quellen, Schweregrad, Konfidenzgrad und Kennzeichnung als umstritten, befinden sich in dem KI-Vorfallarchiv – sodass eine Supply-Chain-Kompromittierung, die auf Agenten-Tooling abzielt, neben dem Rest dessen gelesen werden kann, was tatsächlich geschehen ist.