AI 把写代码变简单了，也把黑客请进来了

昨天看一段安全圈的讨论，我整个人有点发麻。 不是因为又有哪个大厂被打了。 而是因为这次的感觉特别像一句话。 我们不是在安装依赖。 我们是在把陌生人的代码，批量请进自己的电脑。 而且这个动作，今天已经被所有人做得太自然了。 事情是这样的。 npm 和 PyPI 这两大生态，最近又挨了一轮比较大的供应链攻击。TanStack、中间一堆 JavaScript 包、一些 Python 包，都被卷进去了。攻击者利用的是 GitHub Actions 的缓存投毒，先把恶意代码塞进共享 cache 里，再等一个完全合法的发布流程自己把它带进生产。 注意，这里最吓人的点不是谁密码泄露了，也不是哪个维护者电脑中毒了。 都不是。 是发布流程本身，被借刀了。 听着有点抽象对吧，我尽量用大白话讲。 #信息差 #优质信息源 #newsletter #创业 #职场 #产品 #AI #营销 #搞钱 #商业分析 #深度阅读 #深度思考 #投资 #决策 #管理