知名安全工具 Trivy 遭遇严重供应链攻击，GitHub Actions 被植入恶意窃密程序

3月19日，知名开源安全扫描器 Trivy 的官方生态系统遭到严重供应链入侵。攻击者利用未彻底撤销的凭证，发布了包含恶意代码的 v0.69.4 版本，并劫持了官方 GitHub Actions。该恶意程序旨在窃取开发者的云服务凭证、SSH 密钥等敏感信息并回传。受影响的用户需立即更新至安全版本，并强制轮换所有可能泄露的密钥。