MemTensor AI 记忆组件遭投毒，加载即执行恶意程序

Woofun AI 监测数据显示， 面向 LLM/Agent 的开源库 （PyPI 版本 2.0.34）及连接 运行时的官方插件 （npm 版本 0.1.21、0.1.23、0.1.25）遭遇供应链攻击。受影响包内置跨平台 Go 二进制文件，在包被 import 或 OpenClaw 网关启动时自动执行恶意程序。攻击者借此窃取 npm/PyPI token、GitHub/GitLab 凭证、AWS 密钥、SSH 密钥、API token 及环境变量等开发者凭据并外发，npm 插件还可能泄露用户 prompt。

安全机构建议用户立即卸载或回退至已知安全版本（npm 用 0.1.20，PyPI 用 2.0.33），结束相关 sckit 进程，封禁关联基础设施，排查网络活动，并轮换受影响环境中的全部凭据。