Phylum研究团队揭示了npm中与Tea协议相关的垃圾软件包的激增，许多软件包仅仅通过操控协议的方式来增加软件开发者的贡献。估计在2024年第二季度中，超过四分之一的npm包可能为垃圾包，而其中新发布的包中，约有五分之四是垃圾包。这种现象不仅污染了开源生态系统，还可能影响到AI模型的训练与包注册的安全性。
关键点
– Phylum发现了与Tea协议相关的垃圾软件包在npm生态系统中的广泛存在，这些软件包大多毫无实际价值。
– 从2024年2月到2024年4月，npm软件包的发布量大幅上升，从几千个包增加到超过48,000个。
– 在手动审查的1600个包中，约95%包含Tea协议的滥用迹象，导致超过500,000个垃圾包的估计。
– 进一步分析新发布的包发现，其中68.66%到74.67%都是Tea协议生成的垃圾包，目前估计数量在613,000到667,000之间。
– 垃圾包的存在不仅影响开发者的工作，也可能使得AI模型输出偏离正常方向。
– npm的包注册系统受到了严重污染，增加了潜在恶意软件包隐藏的可能性。
– 尽管npm正采取措施删除垃圾包，但清除速度仍跟不上新发布的速度。
Via：https://blog.phylum.io/the-great-npm-garbage-patch/