先了解这件事
2026年6月10日,Replit 宣布与软件供应链安全公司 Socket 合作推出 Package Firewall,在 npm install、pip install 等安装环节拦截恶意或被入侵的包,默认对所有 builder 开启、无需配置。据 Replit 介绍,该功能上线一周以来每天在 Replit 上拦截约 8,000 个包。被拦截最多的并非冷门包,而是 form-data、protobufjs、handlebars、fast-xml-parser、jspdf、grpc-go、pgx 等常用依赖,其被标记版本带有远程代码执行、路径穿越、授权绕过、原型污染和拒绝服务等严重漏洞,多数公告发布于 2025 和 2026 年,晚于推荐这些包的模型训练截止时间。Replit 称该功能是 Replit Auto-Protect 的一部分,与 Security Agent、Security Center 一同默认开启。目前尚无后续发展事实。
AI 根据公开报道生成
事件进展
1 个已确认进展
- 来源：Replit Blog
报道与讨论时间线
按时间查看正式报道与传播讨论；两类内容的证据等级保持独立。
6月10日
Replit Blog一手精选
Replit 联合 Socket 推出 Package Firewall，默认拦截恶意依赖包
Replit 与软件供应链安全公司 Socket 合作推出 Package Firewall，在 npm install、pip install 等安装环节拦截恶意或被入侵的包，默认对所有 builder 开启、无需配置。上线一周以来，该功能每天在 Replit 上拦截约 8,000 个包。被拦截最多的并非冷门包，而是 form-data、protobufjs、handlebars、fast-xml-parser、jspdf、grpc-go、pgx 等常用依赖，其被标记版本带有远程代码执行、路径穿越、授权绕过、原型污染和拒绝服务等严重漏洞，多数公告发布于 2025 和 2026 年，晚于推荐这些包的模型训练截止时间。Replit 称该功能是 Replit Auto-Protect 的一部分，与 Security Agent、Security Center 一同默认开启。