近期Linux内核曝出新漏洞，建议用户暂停安装新软件一周左右，以防供应链攻击风险，尤其警惕通过NPM发起的攻击。

标题：或许你该暂缓安装新软件了

发布日期：2026年5月7日

内容概述： 继copy.fail事件后，近期又公布了多个新的Linux内核漏洞： * Copy Fail 2: Electric Boogaloo * Dirty Frag

当前正是通过NPM发起供应链攻击的最佳时机。作者建议，除了从发行版获取的Linux内核补丁外，用户最好暂停安装新软件一周左右。

（注：文末说明自发布以来事实情况可能已发生变化，若发现内容有误或表述不清，建议联系作者核实。）

标签：安全警告、软件安装、Linux漏洞

以下是评论内容的总结，平衡呈现不同观点并保留关键引用：

1. 对AI和云服务快速发展的质疑

   • 认为当前AI热潮导致大量低质量代码涌现，依赖云服务无限扩容的假设不切实际
   • 引用："everyones got some AI bit and bob that was vibe coded" (评论1)
   • 引用："the slopcode world is the opposite philosophy of reproducible builds" (评论3)

2. 供应链安全与依赖管理的风险

   • 批评现代依赖管理存在漏洞，导致供应链攻击频发
   • 引用："too many dependencies relying on pinned outdated dependencies" (评论3)
   • 引用："the lottery of either getting a new supply-chain attack or the fixes" (评论4)

3. 解决方案建议

   • 延迟安装新包版本（如等待几天）可规避多数短期攻击
   • 引用："set them to only install package versions that are more than a few days old" (评论7)
   • 反对观点认为延迟更新无效，攻击者可调整策略
   • 引用："If everyone starts waiting a week, their exploits will wait 2 weeks" (评论12)

4. 系统安全实践对比

   • 推荐FreeBSD等更严谨的安全更新机制
   • 引用："FreeBSD security team... binary updates published within a couple minutes" (评论6)
   • 容器化构建应避免使用latest标签
   • 引用："We set up our base containers with all the external dependencies already in them" (评论10)

5. 现实问题与开发者困境

   • 系统升级可能引入意外故障（如Fedora 44案例）
   • 引用："Sound completely dead with no Pipewire service available" (评论8)
   • 开发者工具（如VSCode扩展）存在安全风险
   • 引用："I got rid of half of my VSCode extensions... too risky" (评论15)

6. 根本性危机反思

   • 认为当前依赖生态的便利性埋下了长期隐患
   • 引用："The sheer mass of packages... was always a problem" (评论14)
   • 内核漏洞（如copyfail）加剧了供应链攻击风险
   • 引用："lets a malicious npm package get root access" (评论16)

关键矛盾集中在：快速迭代的便利性与安全性之间的权衡，以及延迟更新是否真正有效。技术社区对解决方案尚未达成共识，但普遍意识到当前依赖管理模式的系统性风险。