L'attaque « Tensorlake » sur npm et le piège de la révocation des jetons GitHub

Le 8 octobre 2026, un compte d'administrateur du dépôt piraté a intégré des commits malveillants dans le véritable SDK Tensorlake, et le pipeline du projet lui-même les a publiés sur npm sous le nom « [email protected] ».

Un seul hook d'installation exécutait une charge utile conçue pour voler les identifiants des développeurs, notamment les jetons GitHub et npm, et se propageait à d'autres projets. Le plus insidieux dans cette affaire, c'est que, pour certains jetons GitHub volés, le code mettait en place un moniteur en arrière-plan qui tentait de supprimer les fichiers de l'utilisateur si le jeton était révoqué.

Dans cet épisode de « The Weak Link », nous analysons comment un code malveillant a pu passer à travers un pipeline de compilation légitime, pourquoi une traçabilité précise ne garantissait pas la sécurité du code, comment vérifier si le script d'installation s'est réellement exécuté, et comment éliminer la menace et renouveler les identifiants sans aggraver les dégâts.