RecodeX 重构消息，SlowMist 威胁情报团队发布预警，MemTensor 的 AI 记忆工具链遭供应链投毒。受影响组件包括其面向 LLM 与 AI Agent 的开源长期记忆库 MemoryOS（PyPI 版本 2.0.34），以及连接 OpenClaw 代理运行时的官方插件 memtensor/memos-cloud-openclaw-plugin（npm 版本 0.1.21、0.1.23、0.1.25）。上述版本内置跨平台 Go 二进制文件，在包被加载或导入时即执行，可窃取 npm/PyPI 令牌、GitHub/GitLab 凭据、AWS 密钥、SSH 密钥、API 令牌及环境变量等开发者机密，数据被回传至 skyleen[.]fr 域名下的基础设施；npm 插件还可能泄露用户提示词内容。官方建议卸载或降级至已知安全版本（npm 0.1.20、PyPI 2.0.33），终止 sckit 进程、封堵相关基础设施、排查网络活动并轮换受影响环境中的凭据。