文章

86 分钟：Rust 供应链攻击把 yank 机制变成了诱饵

2026 年 8 月 20 日，arrayref 被投毒。真正值得研究的不是恶意代码本身，而是攻击者把 cargo 的 yank 提示变成了社会工程武器——先把好版本全部标记为废弃，再让 cargo 亲口建议你升级到那个恶意版本。整条链路只在线 86 分钟，却踩中了 Rust 依赖模型里最难防的一环：build.rs 在编译期就是任意代码执行。