npm 包 agent-trace-kit 被植入恶意软件，GitHub 发布安全公告

GitHub 发布安全公告 GHSA-p844-4jjv-h39f，指出 npm 包 agent-trace-kit 被植入恶意软件。公告称任何安装或运行过该包的计算机都应被视为已完全沦陷，其上存储的所有密钥和凭据应立即从另一台计算机上轮换；该包应被卸载，但由于计算机可能已被外部实体完全控制，卸载该包并不能保证清除安装它所产生的全部恶意软件。