Tensorlake npm 包遭供应链攻击，恶意版本植入凭据窃取蠕虫

Tensorlake npm 包版本 0.5.144 在 ChainDrop / Shai-Hulud 供应链攻击中被植入恶意代码，可通过 preinstall 钩子启动窃取凭据、外传数据、建立持久化并执行远程代码的蠕虫；该版本已从 npm 撤下。恶意代码会针对本地文件、CI、Kubernetes、Vault 等来源收集凭据，并可能借助发布身份传播；安装者应立即移除该版本并轮换相关凭据。