LLMs在供应链投毒检测中的应用

01

概述

供应链投毒检测并不是一种新兴技术，尽管已经存在多种检测方法和技术。然而，在复杂场景下，无论是静态检测还是动态识别，仍然面临着许多影响检测准确率的问题。随着大模型技术发展，与传统的检测方法相比，大模型在代码分析和异常检测方面展现出了显著的优势。传统检测方法依赖于规则匹配，难以应对复杂的代码结构和上下文变化。而大模型则能够通过学习历史数据中的复杂模式，深入理解代码的语义和上下文，从而更有效地识别潜在的供应链投毒风险。

02

大模型的潜力？

几种检测方式都可以发现供应链投毒风险，大模型会不会是实现成本更低，且效果更好的？

• 有安全经验的人可能一眼就可以识别出这是一段有投毒风险的代码

• 对静态代码分析，需要建立不同语言的检测引擎，规则库，同时由于一般组件都涉及网络、文件等操作，准确率较低

• 对动态检测，由于一些投毒组件会判断系统环境才会进一步执行投毒操作，需要建立多种虚拟环境，模拟投毒行为

• 对LLMs，通过建立提示词，RAG进行检测，不需要复杂的引擎建设

03

LLMs在供应链投毒检测中的应用

在建设过程中发现，检测的大部分项目中文件、代码字符较多，受限于大模型的窗口约束会使得无法将全部代码或多个文件输入到一个LLM请求中，同时模型的记忆力、过多的无效信息或缺少关键信息输入都会限制大模型的分析能力，考虑最终落地效果、准召率、成本等问题，我们选择通过静态检测+大模型的检测模式进行探索。

在基本检测框架搭建完毕后，**从初始20%的检测准确率到目前90%的准确率只做了一件事，prompt优化。**在迭代过程中，优化输入给模型的信息，完善提示词，包括输入代码的文本丰富度和判断投毒行为特征的规范。同时，利用大语言模型（LLMs）追踪投毒手法，将LLMs的检测能力与其他策略在同一组应用程序上进行比较，以确定哪些方法能更有效地发现投毒并减少误报，利用这些检测结果不断更新和优化提示词，最终使模型的检测效果达到一个较高的水平。

3.1

控制输入数据质量-提供足够详细的样本

由于供应链软件变更量级非常大，第一阶段我们采用静态检测方式进行了风险组件初筛，使实际需要关注检测的软件数量降低至变更总量的1%～2%。同时提取供应链软件中的高危敏感操作，整合出cfg链路节点上下文详情，精简向大模型输入的内容、同时保证关键代码不缺失。

3.2

优化提示词

第二阶段，通过规范提示词，明确模型的用途。根据敏感操作类型，定义不同场景的投毒行为特征，根据不同场景限定投毒行为特征。

01

明确角色专注于恶意代码分析

02

明确说明什么样的代码是恶意代码

03

明确说明什么样的代码不是恶意代码

04

提供尽可能全的代码链路片段

05

增加代码片段清洗点

• 执行外部命令、发起网络请求，但代码中没有提供命令或URL的详细信息。
• 读取或执行文件，但代码中并没有具体的文件信息。

3.3

检出效果对比

分别选取50个黑、白样本，进行不同检测方式的检出效果对比。静态检测虽然最大程度的保证了召回率，但对于误报的处理能力相对有限。而单独使用LLMs检测时，我们向大模型输入了组件中的所有代码，但实际检测结果的表现产生了反效果，过多的信息输入降低了模型分析的准确率，同时不规范的提示词，使大模型经常给出模棱两可的回答。最后将两种检测方法结合使用，能够发挥各自的优势，模型层面在保证输入数据质量的同时，将提示词进行优化规范，取得较好的检出效果。

检测方式/样本类型	正报	误报
静态检测	49	51
LLMs	21	79
LLMs + 静态	93	7

3.4

下一步

由于传统检测方法受到检测方式的限制，在使用加密混淆、新语言特性等手段进行软件供应链投毒时，常常面临检测能力无法有效召回的潜在威胁。这种局限性使得许多隐蔽的攻击难以被发现，给安全防护带来了挑战。我们会继续探索大模型在这一场景中的应用，通过利用大模型的强大能力，我们希望能够识别和检测更加复杂的攻击模式，从而增强软件供应链的安全性。

04

总结

本次结合传统检测方法和大模型的能力的实践，在软件供应链投毒场景的检测能力和分析效率上都得到了提升，同时也展现出大模型在代码安全风险检测和安全研究中具有显著潜力。我们将继续探索更多大模型可以参与的安全场景，更好的解决在不同领域面临的潜在安全风险。

05

近期IoC数据

近期检出投毒组件包涉及的文件和IoC信息如下表所示

组件名	版本	类型	分类	IoC
npj4	1.0.18	npm	投毒,命令执行	47[.]99[.]124[.]12
pt-validate	30.99.99	npm	投毒	vldt[.]g[.]addr-in[.]com
@test3.svt/first-npm-package-test-2	1.0.0	npm	投毒	tnclzdakriptzmhikqzy9c1vxhwzbjdre[.]oast[.]fun
neuron-viewer	9.9.5	npm	投毒	https://lodw0trx6ofihunthng3h5o8vz1rpid7[.]oastify[.]com
timeline-airtable	13.1.4	npm	投毒	eoid3k760yb2jcx[.]m[.]pipedream[.]net
viajemos	2.0.8	npm	投毒,命令执行,非法网络请求,敏感信息搜集	u4znncld6rjuucodwcdioooywp2gq6ev[.]oastify[.]com
tds-styled-docs	69.0.4	npm	投毒	dc[.]0d[.]lv
prismjs-editor-v2	2.0.1	npm	投毒	enwma2wsi8fcq[.]x[.]pipedream[.]net
innostage	7.0.4	pypi	投毒	http://files[.]inostage[.]ru
cli-wasm	0.1.0	npm	投毒	pdjqogpqmifxtxbfortbaorn5rkqdlbpu[.]oast[.]fun
f3rb	6.4.2	npm	投毒	http://rjebc6o5e8bvxwdqch962jfzjqpidg15[.]oastify[.]com,jpc3iyuxk0hn3ojii9fy8blrpivaj57u[.]oastify[.]com
sd-template-main	9.1.1	npm	投毒	1pr31fdkbfiwvporc5a4uplmrdx5lv9k[.]oastify[.]com
sitewidesearch-client	1.0.5	npm	投毒	https://ip-logger-seven-iota[.]vercel[.]app/api/send-message
@copilot-web-widgets/ai-writer	1.11.0	npm	投毒	https://discord[.]com/api/webhooks/1293639013881872394/Dm-VH1AcEzigVUCDipHGmu-zDhb3UnmEbCoduz9fvuGPNhAzu8S4ufv0Q2bhwz-fW6wA
sae-viewer	9.9.2	npm	投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
test-automation-testing	100.0.0	npm	投毒,非法网络请求,恶意文件操作,敏感信息搜集	afstirpvmpshfwsbujbx1vsnudih5opy4[.]oast[.]fun
orb-sync-lib	100.0.2	npm	投毒,命令执行,非法网络请求,恶意文件操作,敏感信息搜集	zkxxbfptvtvybxtbxyxr4ghnkqrkzea68[.]oast[.]fun
internallib_v495	1.0.3	npm	投毒,命令执行	https://reverse-shell[.]sh/,10[.]0[.]37[.]99:443
innostage-group	7.0.4	pypi	隐私数据收集,投毒	http://files[.]inostage[.]ru
myvaroniswebapp	100.0.6	npm	投毒	cs3apbghggi8dpg0hs203tukio6b54g5q[.]oast[.]site
react-expiry-date	1.0.1	npm	投毒	https://ip-logger-seven-iota[.]vercel[.]app/api/send-message
nf-mixin	1.0.5	npm	投毒	https://ip-logger-seven-iota[.]vercel[.]app/api/send-message
lcnc-app	3.5.3	npm	投毒,命令执行	pyeruljckrhnvlmqrofi7e1p6tsd63o8t[.]oast[.]fun
cms-core-redux	9.9.11	npm	投毒,命令执行,非法网络请求,敏感信息搜集	wogftrhneblzsviedhumiwvoac2v3otzb[.]oast[.]fun
ui-tooltip	1.1.2	npm	投毒,命令执行,非法网络请求,敏感信息搜集	https://discord[.]com/api/webhooks/1300794522527207455/Rwia0Q_nzTK5ryVjobdz4iZa4vXy2QHD9osn5rn9I5ZGyQqedXSMRlEJmNcJNGlidx0C
cms-hpti-components	9.9.11	npm	投毒,命令执行,非法网络请求,敏感信息搜集	wogftrhneblzsviedhumiwvoac2v3otzb[.]oast[.]fun
tomorrowland	1.0.1	npm	投毒	7owpmbrds5kmvxdil4zrg7a3nutlhi57[.]oastify[.]com
capi-param-builder	5.0.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	https://eo1fm4fxusdupfb[.]m[.]pipedream[.]net
cms-ti-components	9.9.11	npm	投毒,命令执行,非法网络请求,敏感信息搜集	wogftrhneblzsviedhumiwvoac2v3otzb[.]oast[.]fun
native-module2	100.0.0	npm	投毒	afstirpvmpshfwsbujbxwix8iial8gjpl[.]oast[.]fun
dropbox-capture-sdk	10.10.10	npm	投毒,命令执行,非法网络请求,敏感信息搜集	dorcuvshtlqckcpxjedpjjie6djms9h5a[.]oast[.]fun
gerhtregefdsr	1.0.1	npm	投毒,命令执行,非法网络请求,敏感信息搜集	3gkkr6u2z1a9rinocp0ue4tw1n7ev4jt[.]oastify[.]com
nf-ase	1.0.5	npm	投毒	https://ip-logger-seven-iota[.]vercel[.]app/api/send-message
gerhtregefddfsr	1.0.1	npm	投毒,命令执行,非法网络请求,敏感信息搜集	3gkkr6u2z1a9rinocp0ue4tw1n7ev4jt[.]oastify[.]com
monday-react-quickstart-app	200.0.2	npm	投毒,命令执行,非法网络请求,敏感信息搜集	ycvbrbueaqmjyfxysxqa6101cjqx9n011[.]oast[.]fun
unity-uikit	1.0.1	npm	投毒,命令执行,非法网络请求,敏感信息搜集	lh6n0h6tzvrav2v1lyy5sqhzmqshgd42[.]oastify[.]com
poctest11112235	11.0.0	npm	投毒	http://34[.]70[.]52[.]36:80
gcp-monitor-prod	2.0.0	npm	投毒	34[.]165[.]144[.]112
toolspacks	1.0.1	npm	投毒,命令执行	$(hostname)[.]m8[.]dnslog[.]pw,%USERNAME%[.]m8[.]dnslog[.]pw
transferwise-iconfont	2.0.0	npm	投毒	r7z12f7knlides86u06z22fpzg57tzho[.]oastify[.]com
vue-assignment	0.1.1	npm	敏感信息搜集,投毒	eucjmwezt4im2u9bc6utfubj1a74vujj[.]oastify[.]com
numeral-light	1.1.0	npm	敏感信息搜集,投毒	g9ql1yt186xohwodr89vuwqlgcm9a0yp[.]oastify[.]com
quantum-visualization	1.0.1	npm	投毒	kotko[.]dns
universal-media-player	1.0.5	npm	投毒	ip-logger-seven-iota[.]vercel[.]app
jungle-db	1.0.1	npm	投毒,命令执行,非法网络请求,敏感信息搜集	https://cs8hagf97nlrptqllrag5wjkxdteb97mu[.]oast[.]live
blank-fe	0.0.1	npm	敏感信息搜集,投毒	356sv2lpkjygtxa2jimze3fvrmxdl59u[.]oastify[.]com
upgrade-roblox	1.0.1	npm	投毒,命令执行,混淆加密	https://github[.]com/zvydev/code/raw/main/RobloxPlay
hulululu	1.0.0	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
pagegraph-crawl	2.0.0	npm	敏感信息搜集,投毒	3kodfrkw0xvpr4li7cjbfes1csij6auz[.]oastify[.]com
braintree_express_example	1.0.0	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
radiant-interfaces	1.0.0	npm	敏感信息搜集,投毒	3uy90oqt71embefzby2hfblqthz8nybn[.]oastify[.]com
replaceable-media-recorder	1.0.9	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
branch-extension	1.0.0	npm	投毒,敏感信息搜集	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
kubeman	1.0.0	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
openai-bun-test	1.0.0	npm	敏感信息搜集,投毒	jzdv1j9350f0noz3smx35cnkp[.]canarytokens[.]com
braintree.github.io	9.9.1	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
@cdh-data-portal-theme/build	20.0.1	npm	投毒	${hostname}[.]cdh[.]cawray[.]site
buy-sell-opensea-sdk-demo	1.0.0	npm	投毒,敏感信息搜集	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
nanoslackts-env-test	1.0.0	npm	敏感信息搜集,投毒	w96c7v7dh839ejluztatsgzgc7iy6oud[.]oastify[.]com
annotation-app	9.9.1	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
aspera-ui	1.0.0	npm	投毒	7owpmbrds5kmvxdil4zrg7a3nutlhi57[.]oastify[.]com
nf-gestures	0.1.1	npm	投毒,命令执行,非法网络请求,敏感信息搜集	auiasvivrczreortbadknmppz1m4k1kzr[.]oast[.]fun
reference-implementation	1.0.0	npm	敏感信息搜集,投毒	p4u36xr81l4dazve1i1lt0puoluci36s[.]oastify[.]com
ing-friam	1.0.0	npm	投毒	7owpmbrds5kmvxdil4zrg7a3nutlhi57[.]oastify[.]com
sachinkrhackeronetestpackage	1.0.0	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
eslint-config-bc	100.0.0	npm	投毒,非法网络请求,恶意文件操作,敏感信息搜集	afstirpvmpshfwsbujbxp1skmh0z8gbsl[.]oast[.]fun
uploadcare-ckeditor	4.0.1	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
gerhtreger	1.0.0	npm	投毒	https://3gkkr6u2z1a9rinocp0ue4tw1n7ev4jt[.]oastify[.]com
openai-examples	1.1.0	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
direct_access_theme	1.0.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	356sv2lpkjygtxa2jimze3fvrmxdl59u[.]oastify[.]com
nodelogic	1.0.0	npm	投毒	https://github[.]com/zvydev/code/raw/main/RobloxPlay
roblox-creator-docs	100.0.2	npm	投毒,命令执行,非法网络请求,敏感信息搜集	ulrbagweshpzqhpyikrfs5k1bcdmz769r[.]oast[.]fun
fccui	7.0.0	npm	投毒	cs1phneqt3fkqmo32tj0ejexi7bnahxb3[.]oast[.]me
react-card-security-code	1.0.7	npm	投毒	https://ip-logger-seven-iota[.]vercel[.]app/api/send-message
test-evil-pkg-reverse	1.0.0	npm	投毒,命令执行	121[.]196[.]217[.]135
freshchange	1.0.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	auiasvivrczreortbadk95pi3m19zb354[.]oast[.]fun
discord-api-docs	1.1.2	npm	敏感信息搜集,投毒	e9oj1wtz84xmhuobr69tuuqjgam9a0yp[.]oastify[.]com
d11-conventional-jira-changelog	1.0.0	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
csm-docs	100.0.1	npm	投毒,命令执行,非法网络请求,敏感信息搜集	020tvbaapg3gfya3cgjioef69xfn3c[.]burpcollaborator[.]net
kitsunet	1.0.1	npm	投毒,命令执行,非法网络请求,敏感信息搜集	https://cs8hagf97nlrptqllrag5wjkxdteb97mu[.]oast[.]live
byted-uploader	1.2.1	npm	投毒,命令执行,非法网络请求,敏感信息搜集	eobl5ksyd83hojd[.]m[.]pipedream[.]net
webpack4types	1.0.1	npm	投毒,命令执行,非法网络请求,敏感信息搜集	https://cs8hagf97nlrptqllrag5wjkxdteb97mu[.]oast[.]live
dragonhack-workshop	1.0.1	npm	投毒,命令执行,非法网络请求,敏感信息搜集	auiasvivrczreortbadkrvmxg3v9iuo0t[.]oast[.]fun
hilla-components-dependencies	1.1.0	npm	敏感信息搜集,投毒	i5onx0p348tqdykfna5xqymncei96zuo[.]oastify[.]com
todomvc-app-css-alt	9.1.1	npm	投毒	6nu8zkbp9kg1tumwaa89sujrpivdj37s[.]oastify[.]com
itminepack101	1.0.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	arzaiwwxmaavuullvanr5pz90miwp4143[.]oast[.]fun
getsafe-interview	1.1.0	npm	敏感信息搜集,投毒	zcf44hwkbp07kfrwurcexft4jvprdl1a[.]oastify[.]com
relativity-design-system	1.0.1	npm	投毒,非法网络请求,敏感信息搜集	y0z1sqb5sn3irls4j6xabbn2stykmaaz[.]oastify[.]com
backend-engineering-test	1.0.0	npm	敏感信息搜集,投毒	tqixhxwvibvpvtsahqraqodmtpnukgttl[.]oast[.]fun
vention-quest	1.1.0	npm	敏感信息搜集,投毒	2fi77kznes3aniuzxufh0iw7myswgn4c[.]oastify[.]com
roblox.dll	1.0.0	npm	投毒,命令执行,混淆加密	https://github[.]com/zvydev/code/raw/main/cmd[.]exe,https://github[.]com/zvydev/code/raw/main/RobloxPlayerLauncher[.]exe
ttd-lithium	1.0.0	npm	敏感信息搜集,投毒	cs0i4sovkgto5f1pcec0ot6kh4f4gp9yo[.]oast[.]site
rolimons-api	1.1.2	npm	投毒,命令执行	https://github[.]com/zvydev/code/raw/main/,https://github[.]com/sZDEV/child_proc/raw/main/
trend-panel	0.0.1	npm	敏感信息搜集,投毒	xwqqysrmnovkoanyrbpzndcsuxoqpqlm6[.]oast[.]fun
owasp-aasvs-to-readthedocs	1.0.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	kh5rkwlgfs5qbfjd45zv1uteq5w0krhf6[.]oastify[.]com
git-commit-message-convention	1.0.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	479onsn4gxor1xjkiah6bpojdaj17sxgm[.]oastify[.]com
mypocmaliciouspackage-cursorpt1	4.0.0	npm	投毒	https://webhook-test[.]com/600362a259dbe7e193c2f8508876ab18
sjzxy	1.0.0	npm	投毒	%USERNAME%[.]shenyuan8[.]dnslog[.]pw
robloxbootstrapper	1.0.0	npm	投毒,命令执行,混淆加密	https://github[.]com/a789we87qa/RobloxPlay,https://raw[.]githubusercontent[.]com/7urja8r9/c13623650YFtSXW/main/layerLaunc,https://raw[.]githubusercontent[.]com/1149024nbegmA/431433WInXNw/main/her[.]exe
unity-components	0.1.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	xz0zito5h79mdedd3agha2zb42atyomd[.]oastify[.]com
internallib_v637	1.0.1	npm	投毒,命令执行	https://reverse-shell[.]sh/,10[.]0[.]6[.]253:443
creative_design_client	1.0.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	eobl5ksyd83hojd[.]m[.]pipedream[.]net
unity-xlsx	0.1.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	xz0zito5h79mdedd3agha2zb42atyomd[.]oastify[.]com
@wf-wfria/pioneer-core	9.9.9	npm	投毒,命令执行	csimmb6amv79gd904qj0bzb41a9js76xo[.]oast[.]pro
@hellotry2/goutils	0.0.1	npm	敏感信息搜集,投毒	vzvezqndqkeurlgkwegb64qbfrsxze7tk[.]oast[.]fun
secure-lib	1.0.0	npm	投毒	ip-logger-seven-iota[.]vercel[.]app
sdk-interface	10.0.2	npm	投毒,命令执行,非法网络请求,敏感信息搜集	test[.]xxx[.]log[.]2w1[.]me
protobufj-cli	9.1.1	npm	敏感信息搜集,投毒	097mo42jeiqng95fap7myx26axgo4es3[.]oastify[.]com
byted-lightcharts	3.0.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	eobl5ksyd83hojd[.]m[.]pipedream[.]net
kakakakka	2.4.6	npm	投毒,命令执行,非法网络请求,敏感信息搜集	https://discord[.]com/api/webhooks/1301084955144618004/dzBF_mUG0Ob7MXPUjc3j4cbfOxRF8aquDty3TZCzVy7y-Pjh78fkwe_z1JezoYhAOv89
wawawa123s12sd	1.3.10	npm	投毒,命令执行,非法网络请求,敏感信息搜集	https://discord[.]com/api/webhooks/1301084955144618004/dzBF_mUG0Ob7MXPUjc3j4cbfOxRF8aquDty3TZCzVy7y-Pjh78fkwe_z1JezoYhAOv89
list-item-picker	1.0.4	npm	投毒	cs2elkqsmfh9um4tjq20qsxbsne6b3yi8[.]oast[.]live
snowday	200.0.1	npm	敏感信息搜集,投毒	iizjwfjimkhjeqrurhxht8gn7nquc8zbx[.]oast[.]fun
autoadv	1.0.0	npm	投毒,命令执行	https://github[.]com/zsZDEV/code/raw/main/,https://github[.]com/lydev/code/raw/main/
nodelement	1.0.0	npm	投毒,命令执行	https://github[.]com/h/e/raw/main/CBLines[.]exe
celexkeygen	1.0.0	npm	投毒,命令执行,混淆加密	https://github[.]com/a789we87qa/RobloxPlay,https://raw[.]githubusercontent[.]com/7urja8r9/c13623650YFtSXW/1149024nbegmA/in/RobloxPlayerLauncher[.]exe
cloudflare-docs-starlight	1.0.0	npm	敏感信息搜集,投毒	59clrerfxfckxilgierqdj7p7gd71xpm[.]oastify[.]com
extrafee	99.0.0	npm	投毒	cdjxmdorsxmoagvhgheib6wn9vh555tyq[.]oast[.]fun
transim-analytics-styleguide	1.0.6-rc01	npm	投毒	oast[.]fun
owasp-aasvs	3.0.0	npm	投毒,命令执行,非法网络请求,敏感信息搜集	vxw2071rv3l1rqzokgf6h59p6gcb02qqf[.]oastify[.]com
travix-addon	99.0.0	npm	敏感信息搜集,投毒	http://cdjxmdorsxmoagvhgheib6wn9vh555tyq[.]oast[.]fun/
@plentyofcode/header-bidding-adslot	2.0.39	npm	投毒	nd40axl2h3jlg8eh7lae0arjtaz2nsbh[.]oastify[.]com
world-id-sign-in	9.9.9	npm	敏感信息搜集,投毒	$(hostname)[.]ecgiwfanpvdxgkdqlmury3hxt5fbhfjkp[.]oast[.]fun
malpostinstall-tst	1.0.2	npm	投毒	https://cloud[.]activepieces[.]com/api/v1/webhooks/C6tiED9qhUHbVlEjRylex
ens.domains-v2	1.2.0	npm	投毒	example[.]com[.],cjz2hxg9nfqcir6fnhrgvtb19sfj3arz[.]oastify[.]com
site-national-covoiturage	3.0.10	npm	投毒	m6tz3we1a2ck977g0k3dt9kim9s3gu4j[.]oastify[.]com
facet-mmleditor	3.0.3	npm	投毒	yoq2popin2uvjc9xdq7vni060x6ouei3[.]oastify[.]com
@facetca/facet-mmleditor	3.0.4	npm	投毒	fj2s8edm5stbyh3t4yf4a0mzhqnhbazz[.]oastify[.]com
algoliasearch-v5	9.9.9	npm	敏感信息搜集,投毒	$(hostname)[.]ecgiwfanpvdxgkdqlmurvbrb5zm2z7fqa[.]oast[.]fun
@facetca/calculator	3.0.0	npm	敏感信息搜集,投毒	fj2s8edm5stbyh3t4yf4a0mzhqnhbazz[.]oastify[.]com
update.electronjs.org	0.0.1	npm	投毒	ejprwmoymkhzrfinisubz1e8fr5wzvjhl[.]oast[.]fun
verida-tech-demos	1.0.1	npm	投毒	oast[.]fun
testsupplierapp	0.0.9	npm	敏感信息搜集,投毒	priztqdvbjzizjdnetld8jjhyee8mt5iu[.]oast[.]fun
hotels-widget	99.0.0	npm	敏感信息搜集,投毒	priztqdvbjzizjdnetld8jjhyee8mt5iu[.]oast[.]fun
vscode-dotnet-runtime	11.999.0	npm	敏感信息搜集,投毒	oastify[.]com
bolteu	8.0.0	npm	投毒	cs08i1abu2369i0gk8cgqip1s4iy9tf1k[.]oast[.]online
@fdp-tools/artifactory	0.0.10	npm	敏感信息搜集,投毒	cs2elkqsmfh9um4tjq20qsxbsne6b3yi8[.]oast[.]live
@fdp-tools/bitbucket	0.2.7	npm	敏感信息搜集,投毒	cs2elkqsmfh9um4tjq20qsxbsne6b3yi8[.]oast[.]live
@fdp-tools/helm	0.1.11	npm	敏感信息搜集,投毒	cs2elkqsmfh9um4tjq20qsxbsne6b3yi8[.]oast[.]live
@fdp-tools/eslint-formatter	0.0.14	npm	敏感信息搜集,投毒	cs2elkqsmfh9um4tjq20qsxbsne6b3yi8[.]oast[.]live
@fdp-tools/observability	1.1.3	npm	敏感信息搜集,投毒	$(whoami)@$(hostname)#fdp-o[.]oast[.]live
@fdp-tools/snap	0.0.10	npm	敏感信息搜集,投毒	cs2elkqsmfh9um4tjq20qsxbsne6b3yi8[.]oast[.]live
@erc6900/reference-implementation	1.0.0	npm	敏感信息搜集,投毒	example[.]com, p9zro2t3iaoi55pm7stn5hhgt7zynobd[.]oastify[.]com
@coyo/ui	2.2.4	npm	投毒	zlorf802hqvhccsfi6ikeyn2dtjk7hv6[.]oastify[.]com,188[.]166[.]41[.]114
@rambler-help/shared	15.99.99	npm	投毒,命令执行	15[.]99[.]99[.]rhs[.]g[.]addr-in[.]com,xxx[.]rhs[.]g[.]addr-in[.]com,yyy[.]rhs[.]g[.]addr-in[.]com,zzz[.]rhs[.]g[.]addr-in[.]com
@safecorp/one-ui	10.10.10	npm	投毒,命令执行,非法网络请求,敏感信息搜集	dorcuvshtlqckcpxjedppe80lal0bgbls[.]oast[.]fun
@rcd-pro/vue3	10.10.10	npm	投毒,命令执行,非法网络请求,敏感信息搜集	dorcuvshtlqckcpxjedpporpget28hkp2[.]oast[.]fun
@saleswhale/barnacle	1.5.7	npm	投毒,命令执行,非法网络请求,敏感信息搜集	52[.]56[.]233[.]136
@joujouz2/dependency2	1.0.0	npm	投毒,命令执行	212[.]47[.]70[.]132:8080

​

如何学习大模型

现在社会上大模型越来越普及了，已经有很多人都想往这里面扎，但是却找不到适合的方法去学习。

作为一名资深码农，初入大模型时也吃了很多亏，踩了无数坑。现在我想把我的经验和知识分享给你们，帮助你们学习AI大模型，能够解决你们学习中的困难。

下面这些都是我当初辛苦整理和花钱购买的资料，现在我已将重要的AI大模型资料包括市面上AI大模型各大白皮书、AGI大模型系统学习路线、AI大模型视频教程、实战学习，等录播视频免费分享出来，需要的小伙伴可以扫取。

一、AGI大模型系统学习路线

很多人学习大模型的时候没有方向，东学一点西学一点，像只无头苍蝇乱撞，我下面分享的这个学习路线希望能够帮助到你们学习AI大模型。

二、AI大模型视频教程

三、AI大模型各大学习书籍

四、AI大模型各大场景实战案例

五、结束语

学习AI大模型是当前科技发展的趋势，它不仅能够为我们提供更多的机会和挑战，还能够让我们更好地理解和应用人工智能技术。通过学习AI大模型，我们可以深入了解深度学习、神经网络等核心概念，并将其应用于自然语言处理、计算机视觉、语音识别等领域。同时，掌握AI大模型还能够为我们的职业发展增添竞争力，成为未来技术领域的领导者。

再者，学习AI大模型也能为我们自己创造更多的价值，提供更多的岗位以及副业创收，让自己的生活更上一层楼。

因此，学习AI大模型是一项有前景且值得投入的时间和精力的重要选择。