npm 生态遭大范围投毒:TanStack、Mistral AI、UiPath 等受波及,可窃取云密钥与 GitHub 令牌
npm 生态遭大规模供应链攻击,超 160 个包受影响,攻击者通过 GitHub Actions 漏洞利用 OIDC 令牌实现合法发布,窃取云密钥与 GitHub 令牌。
入选理由:攻击者利用 GitHub Actions 的 pull_request_target 漏洞与跨 fork 缓存投毒,绕过双重验证完成恶意发布。
产品
也叫:Bun.js
JavaScript运行时环境
最近变化
2026-07-19 · 使用BUN_OPTIONS预加载脚本可直接获取嵌入的Bun版本
Bun 被反复提及时,通常意味着它正在影响产品路线、开发者工作流或 AI 产业判断。这个页面把分散材料合并成一个可持续更新的观察入口。
已收录 16 篇与「Bun」相关的 AI 资讯和分析。
npm 生态遭大规模供应链攻击,超 160 个包受影响,攻击者通过 GitHub Actions 漏洞利用 OIDC 令牌实现合法发布,窃取云密钥与 GitHub 令牌。
入选理由:攻击者利用 GitHub Actions 的 pull_request_target 漏洞与跨 fork 缓存投毒,绕过双重验证完成恶意发布。
Claude Opus 4.8发布,代码缺陷漏报率降至4.7版的1/4,硬编答案概率降为1/10;新增动态工作流支持数百子智能体并行执行任务,Bun项目实测产出75万行Rust代码、99.8%测试通过。
入选理由:Opus 4.8代码缺陷漏报率仅为Opus 4.7的25%,硬编答案行为概率下降至1/10
通过预加载脚本可快速确认Claude使用的Bun版本,无需依赖外部工具。
入选理由:使用BUN_OPTIONS预加载脚本可直接获取嵌入的Bun版本
Claude Code v2.1.181及更新版本已使用Rust重写Bun,Linux启动速度提升10%。
入选理由:Claude Code v2.1.181+使用Rust实现的Bun,Linux启动加速10%
Node.js 26默认启用Temporal API,升级V8至14.6,并废弃多项旧API,提升日期处理和性能。
入选理由:Temporal API现为Node.js默认特性,提供更完善的时区和日期处理
文章讨论了编程语言和开发工具的锁定效应正在减弱,React Native因功能提升成为可逆选择。
入选理由:React Native功能已覆盖企业应用需求
Zig项目坚持严格的反AI贡献政策,旨在培养长期可靠的贡献者而非追求短期代码质量提升。
入选理由:Zig项目禁止使用LLM进行问题、拉取请求及评论的提交。
Anthropic完成650亿美元Series H融资,投后估值9650亿美元,营收年化达470亿美元;同步发布Claude Opus 4.8(修复4.7缺陷、性能全面领先)及Dynamic Workflows(ultracode),支持数百并行子智能体协同编程,已实现Bun项目75万行代码6天重写。
入选理由:Anthropic Series H融资650亿美元,投后估值9650亿美元,营收年化470亿美元(2025年12月为90亿美元)
Mitchell Hashimoto指出编程语言的可替换性增强,Bun项目在一周内从Zig迁移到Rust。
入选理由:Bun项目在1-2周内完成从Zig到Rust的迁移
yt-dlp 维护者因 Bun 使用 Claude 基于 Rust 重写导致代码质量不稳定,宣布不再支持该版本。
入选理由:yt-dlp 不再支持 Bun 1.3.15 及以上版本
Viking 推荐使用 pnpm、npm 或 bun 的包版本冷却机制来防御 npm 供应链攻击,强制新发布的包必须经过一定时间才能被安装,从而避开攻击窗口。
入选理由:pnpm、npm 和 bun 提供了包版本冷却机制,分别设置为 10080 分钟、7 天和 604800 秒。
该项目使用 Bun + OpenTUI + SolidJS 构建了一个终端 TUI 仪表盘,集成看板任务、日程与 Claude Code 代理会话管理,但缺乏技术细节与架构说明。
入选理由:采用 Bun(超快 JS 运行时)替代 Node.js 提升启动与执行性能
安装Claude Code的用户实际上在使用Bun的新Rust重写版本,但该版本尚未正式发布。
入选理由:Claude Code依赖Bun的未发布Rust版本
Claude Code v2.1.181及后续版本采用Rust重写的Bun,启动速度提升10%。Simon Willison分享了Bun性能优化的技术细节。
入选理由:Claude Code v2.1.181起使用Rust重写的Bun
VoidZero被Cloudflare收购后,Vite、Vitest等核心工具仍保持MIT开源协议并由原团队主导开发。
入选理由:VoidZero加入Cloudflare,但Vite/Vitest/Rolldown/Oxc继续MIT开源
文章讨论了使用编码代理将原生App迁移到React Native的低成本和可逆性。
入选理由:使用编码代理迁移原生App到React Native成本低
与「Bun」经常一起出现的 AI 术语。
💡 想追踪「Bun」的长期趋势?去 实体雷达 · Bun 查看详细分析和跨材料问答。