設定檔中寫死的 API 金鑰與資料庫密碼（Keyv npm 蠕蟲模式）

2026 年 8 月 4 日首次出現在 keyv@6.0.0 的 Keyv npm 蠕蟲，挾帶竊取憑證的 preinstall 指令碼感染數百個套件（SafeDep 驗證 79 個套件名稱、353 個遭投毒版本；Aikido 統計至少 868 個套件、1,381 個版本），從開發者與 CI 環境竊取儲存庫、registry、雲端與私鑰機密。同一週，18 個假冒 Alibaba 私有 @ali 範圍 lib-mtop 套件的惡意 npm 套件，也向開發者電腦散布跨平台 RAT。兩波攻擊都受益於明文設定檔中的機密：開發者寫死並提交到儲存庫、在機器間同步的 API 金鑰、資料庫密碼、registry token 與 .npmrc/.env 內容。本示範附上一份寫死 API 金鑰與資料庫密碼模式的 Python 設定檔（僅合成值，可在任何環境安全執行）。MetaDefender Proactive DLP 檢查的是檔案內容而非名稱或中繼資料，偵測 API 金鑰格式、密碼指派與權杖字串等憑證模式，在機密如 Keyv 蠕蟲負載般擴散之前加以攔截、隔離或告警。