标签：supply-chain

从一键偷 Token 到 npm 投毒：AI 安全别只等扁鹊拔针

GitHub token stealing 和 Red Hat npm 包投毒这两个事件，真正提醒我们的不是 AI 能不能发现漏洞，而是个人和企业能不能把披露、验证、修补和预防做成一条可执行的证据链。