给 AI 编码会话用的实时 npm 安装防火墙，在供应链攻击劫持 Claude Code、Codex 或 VS Code 之前先拦住。

1. Mini Shai-Hulud 攻击（2026 年 5 月）第一次把 AI 编码会话 hook 证明成可用的持久化向量——22 分钟里推上 637 个恶意 npm 版本，并把 hook 注进开发者机器上的 Claude Code 和 Codex 会话。
2. 被攻陷包的月下载量高达数百万（size-sensor 4.2M、echarts-for-react 3.8M），这意味着一次 npm 账号接管的爆炸半径，已经能覆盖全球开发者中的相当大一部分。
3. 同一套 Mini Shai-Hulud 工具链三周前已经出现在 SAP 攻陷里，说明这是一个持续瞄准 AI 开发工具链、而且大概率还会再来的对手组织。
4. 攻击链会把 AWS、GCP、Azure、GitHub、Kubernetes、Vault、1Password、Bitwarden 一整套云凭证全都扫走；这意味着开发者笔记本上一次受感染的 npm install，现在就等同于一次完整的基础设施失守——这是 DevSecOps 团队会愿意掏预算去防的董事会级事故。

催化因素。 2026 年 5 月的 Mini Shai-Hulud 攻击已经证明：AI 编码会话完全可以通过 npm 被植入后门，而且载荷会在此后的每次 AI 会话里反复执行——这等于出现了一类全新的开发者机器持久化攻陷，而现有 SCA 工具根本抓不到。

产品分三层：（1）一个可直接替换的 CLI shim，包住 npm，专门拦 AI 编码代理发起的安装，在放行前先检查发布速度、账号接管信号和 hook 文件改动；（2）一个会话配置监控器，盯住 AI 会话启动文件，一旦出现未授权改写就告警或回滚；（3）一个凭证范围守护进程，只给 AI 代理进程发短期、进程级的云 token，这样即便软件包彻底失守，也拿不到长期 AWS、GCP 或 GitHub 凭证。整个平台要求在 200 ms 内给出判定，不打断 AI 编码工作流，并能接入现有 SIEM 和 Slack 告警链路。

差异化。 现有 SCA 工具看的还是依赖图和已知漏洞库；没有产品把 AI 编码代理当成“行为主体”，也没有工具去盯这些代理真正使用的会话 hook 文件。这个产品的核心 IP，是把实时发布速度异常检测（抓住 22 分钟 637 个版本这种爆发模式）和专门为 Claude Code、Codex、VS Code AI 扩展配置打造的 hook 文件完整性监控绑在一起。凭证范围守护进程也有防守性，因为它要求深度接入开发者本地 keychain 和云 SDK 的凭证链；部署越深，切换成本越高，时间越久越黏。

待完成任务

flowchart LR
  DevLaptop["Developer Laptop\n(AI coding session)"]
  NPMShim["npm Shim\n(intercepts install)"]
  ProvenanceEngine["Provenance &\nVelocity Engine"]
  HookMonitor["Session Hook\nMonitor"]
  CredDaemon["Credential\nScope Daemon"]
  SIEM["SIEM / Slack Alert"]
  DevLaptop --> NPMShim
  NPMShim --> ProvenanceEngine
  ProvenanceEngine -->|clean| DevLaptop
  ProvenanceEngine -->|flagged| SIEM
  DevLaptop --> HookMonitor
  HookMonitor -->|unauthorized change| SIEM
  DevLaptop --> CredDaemon
  CredDaemon -->|scoped ephemeral token| DevLaptop

高管要点

• 问题已经不是未来式：最近几次 npm 攻陷，恶意包已经从单纯投毒走到开发者工作站上的 AI 会话持久化。
• 切口很窄，但时机刚好：安装链路内联拦截加 hook 文件完整性监控，正好卡在传统 SCA 和更宽泛的 agent 治理平台之间。
• 现有厂商已经证明需求存在，但它们今天的产品要么围着代码仓库，要么围着代理层，要么太偏重企业平台，不像一个轻量工作站控制。
• 最大的执行风险是误报摩擦，最大的战略风险是 Endor Labs 或 Socket 很快把这块打包进去。

市场定义

这个市场卡在软件供应链安全、开发者工作站防护和 AI 代理治理的交叉点上。短期切口是拦住恶意软件包安装，并阻止开发者笔记本上的 agent 会话配置文件被未授权改写。

用户与买方

核心买方是负责开发者笔记本策略和 AI 工具 rollout 的平台安全、DevSecOps 负责人。日常 champion 往往是负责加固 Claude Code、VS Code 和 CI 工作流的 staff engineer 或安全工程师。

购买触发点

• TanStack 的复盘把 .claude 和 .vscode 检查直接写进了事故响应任务，原本看不见的风险一下变成了安全团队必须执行的检查项。 [2][47]
• 最近几次 npm 攻击已经证明：就算有 trusted publishing 和 provenance，只要工作流或信任边界被拿下，恶意制品照样能发出去。 [3][14][15]
• 随着恶意开源告警和确认事故一起上升，安全团队已经在为“恶意开源防护”单独编预算。 [43]
• AI 编码用得越来越广，但 AI 安全成熟度还很低；平台安全团队现在面对的是一个肉眼可见、必须补上的控制缺口。 [44][45]

支付意愿

相邻的 AppSec 工具已经把买方训练到愿意接受每位 contributor 每月约 $30 的定价；而 Endor 和 Socket 也在把供应链控制打包进更大平台。只要能明确挡住现有席位挡不住的事故，买方就有预算为一条更窄的控制线单独付费。 [37][39][41]

品类动态

增长信号 自 2024 年 1 月以来，开源恶意软件告警增长 13.6x

验证信号

• TanStack 明确要求用户在受攻击后检查 .claude 和 .vscode，这说明买方已经把这块表面视为安全相关。
• TanStack 和 AntV 两波事件都说明，恶意软件是通过 hook 和 task 文件写入实现持久化，不只是藏在依赖树里。
• Endor 和 Socket 在同一个时间窗口里都推出了相邻控制，进一步证明预算和紧迫性确实存在。
• Endor 的恶意软件报告显示，买方已经把恶意 OSS 列为 2026 年的头号优先级之一，而且预期投入更高。

监管与技术约束

• 有 provenance 声明和 trusted publishing 只能降低一部分风险；只要攻击者控制的工作流还在信任边界内，它就证明不了代码安全。
• Claude Code 的原生 hook 很有价值，但有些利用链会早于 hook 执行启动，所以还得有 wrapper 层加固。
• npm access token 现在虽然有过期和作用域限制，但 CI 和工作流 token 依旧让开发者机和构建机在安装时握着高价值 secret。
• VS Code 的 tasks.json 本身就是另一条持久化表面；只守 Claude hook 远远不够。

最接近的直接入局者是 Endor Labs：它把基于 hook 的 agent 治理和 package firewall 放在一起卖。最强的相邻现有厂商是 Socket，它占住了 registry 和 proxy 这一层。对大多数买方来说，Snyk 和 Semgrep 仍是默认替代预算，而 Chainguard 更像预防层方案，不是工作站层控制。

为什么现有厂商不会默认胜出

• 原生平台能力. GitHub 和 npm 提供了 provenance、依赖和 secret scanning 这些原语，但它们不会监控本地 AI 会话配置的写入，也不会在工作站边缘拦下恶意 lifecycle script。
• 大而全的 SCA 套件. Snyk 和 Semgrep 用的是同一条预算线，但它们的核心姿态仍是代码仓库和 CI 扫描，不是在开发者机器上做内联的 agent 会话执法。
• 代理型防火墙. Socket Firewall 和 Endor Package Firewall 更接近替代品，但两者强调的还是代理或企业集中部署，不是轻量级的本地 hook 文件防护。
• AI 代理治理平台. Endor 的 agent governance 发布反而证明了赛道成立；但它也提醒我们，除非聚焦产品能在部署速度和工作站特异检测上赢得足够明显，否则买方会更偏好更宽的策略平面。

npm AI Session Guard 应该先做成一条面向 AI 触发 npm 安装的工作站控制线，而不是一开始就铺成完整的软件供应链套件。第一批客户应是 Series B-D 的软件、基础设施或开发工具公司：工程师 100–500 人，已经正式 rollout Claude Code 或 Cursor，并且有平台安全团队统一管理开发者笔记本策略。买单触发点通常是刚发生的 npm 攻陷、内部红队发现，或 AI rollout 审查——这些事件会把 .claude 和 .vscode 持久化这块缺口直接暴露出来，而现有的 Snyk、Semgrep、Socket 预算填不上。研究支持这是一个大市场：估算 TAM 为 $6.4B，滩头 SAM 为 $960M，第 3 年 SOM 模型值为 $9.6M；但公司该死守的，只是“先审计再拦截”的 npm 安装拦截 + hook 文件完整性这一窄切口，别急着扩到更宽的 agent 治理或多仓库策略。产品节奏上，应先把 Claude Code 和 VS Code 表面做透，默认审计模式；只有 pilot 证明误报低、部署快，才有资格加 blocking 和凭证范围控制。最强的战略资产，是围绕发布突发、Bun 载荷和未授权 hook 文件写入形成的差异化工作站遥测——这些都是传统 SCA 工具采不到的数据。最有可能推翻故事的风险，一是 Endor 或 Socket 很快打包跟进，二是本地 blocking 带来的摩擦大到工程师直接关掉产品。至于企业里 AI 编码工具的准确席位数，以及 managed hooks 相比文件系统级控制到底能管到什么程度，这两块输入还不够清楚，所以第 1 年必须先把这些不确定性打穿。

问题

• 如今瞄准 AI 会话的 npm 攻击，会直接把持久化写进开发者机器上的 .claude 和 .vscode 文件；一次安装，就可能把之后的每次编码会话一起拖下水。
• 现有 SCA、代理和代码仓库安全工具，大多盯依赖、CI 或 registry，很难稳稳拦住 agent 发起的本地安装，或者发现 hook 文件被未授权改写。
• 安全团队需要的是一条能快速铺到托管笔记本上的控制，而且不能频繁误伤正常安装，否则开发者很快就会绕开它。

解决方案

• 先发一套本地优先的 npm shim，专门拦 agent 发起的安装；它会给发布速度突发、provenance 缺口和已知攻击指纹打分，默认先审计，之后再逐步 selective blocking。
• 盯住 .claude 和 .vscode 这些持久化表面；每次改写都追溯到触发它的软件包或进程，并把回滚动作和可进 SIEM 的证据一起产出。
• 等 pilot 先把信任跑出来，再加凭证范围守护进程，让 AI 代理进程拿到的是短期、受限的云凭证和 Git 凭证，而不是开发者的整套 secret。

为什么我们会赢

• 产品直击 TanStack、AntV 事故已经验证过的工作站盲区——买方现在已经把 .claude 和 .vscode 认成真正的安全表面。
• 轻量本地 shim + 可托管的部署路径，比那些偏代理或更宽泛的 agent 治理平台更快跑出证明。
• 被拦的安装突发、Bun bootstrap 模式、hook 文件写入以及 override 决策，会逐步沉淀成自有的检测和策略数据集。

里程碑

flowchart LR
  Wedge[AI session npm wedge] --> MVP[Audit-first shim and hook monitor MVP]
  MVP --> Proof[Blocked payloads and trusted pilots]
  Proof --> Expansion[Credential scope and wider workstation policy]

创始团队

实验路线图

风险评估

必须成立的条件

• 至少三分之一的合格滩头账户，必须把“工作站级 AI 会话持久化”视为当下就有预算要补的控制缺口，而不是未来路线图需求。
• 只审计 pilot 必须在 30 天内产出有行动价值的检测或拦住红队载荷，而且禁用/绕过比例不能超过 15%。
• shim 和 hook monitor 必须在支持环境里，于持久化发生前拦住复现的 TanStack/AntV 风格载荷。
• 客户必须愿意为有意义规模的生产部署支付每席位每月高于 $20，或年 ACV 高于 $50k 的有效价格。
• 在公司拿下至少 10 个生产客户并沉淀出差异化遥测之前，Endor、Socket、Snyk、Semgrep 都不能把这条切口彻底中和。

待尽调问题

• 在 100–500 人的目标账户里，已经有多少集中托管的 Claude Code、Cursor、Codex 席位？
• 要在 lifecycle script 运行前执行产品，managed-hook 或 MDM rollout 到底够不够，还是必须更深的端点控制？
• 什么样的误报率和额外延迟，会逼工程团队关闭或绕过工作站控制？
• 在真实对比测试里，哪些检测结果能明显优于 Endor、Socket、Snyk 或内部脚本？
• 公司能不能在不破坏买方期待的本地优先隐私姿态下，收集到足够的安装和 hook 遥测来持续优化检测？

模型合理性

• 收入引擎. base 案例的收入来自：Y1 落下 6 个活跃账户，Q4Y2 扩到 12 个活跃组织，再靠席位扩张和高级模块在 Y3 做到 $2.1M 收入。
• 必须跑顺的地方. 模型要求只审计 pilot 的禁用率低于 15%，这样转化才能发生，而公司也不用提前搭一支重实施服务团队。
• 模型会在哪儿断. 下行情景已经说明：即便没有明显的招聘失误，只要销售周期变慢、ARPU 再降一些，下一轮融资前现金就可能轻微跌破 0。
• 下一轮证明点. 只要公司做到 10–12 个生产客户、部署周期小于 30 天，并把 blocking 或凭证范围控制的增购跑成可复制动作，下一轮融资故事就会最强。

情景

敏感性

flowchart LR
  Leads[Triggered target accounts] --> Pilots[Paid pilots]
  Pilots --> Customers[Production customers]
  Customers --> Revenue[Seat and module revenue]
  Revenue --> GrossProfit[Gross profit after hosting and support]
  GrossProfit --> Cash[Cash runway]

警示项: base 案例到 Y3 仍是 EBITDA 亏损，因此公司大概率会在真正盈亏平衡前先做一轮后续融资。 · 现金最低点只有 $290.1K；只要 pilot 转化再慢一点，或遇到一个实施特别重的大客户，跑道就会很快吃紧。 · 模型默认现有厂商不会把价格压到每个活跃组织每月大致 $8.5K-$10K 以下；一旦切口更显眼，这个前提就可能失效。

• 现有厂商快速补功能. 一旦这个方向公开，Socket.dev 或 Snyk 可能在 6–12 个月内就把 AI 会话 hook 监控和发布速度检测补成现有产品的一项功能。 缓解措施: 尽快签下 10+ 家付费企业客户，在现有厂商反应过来前先把凭证范围守护进程做出来；同时争取和 npm、AI 工具厂商签排他性数据共享协议。
• 误报摩擦. 如果把正常 npm 包也拦得太狠，开发者信任会立刻崩；只要一次误报拖慢生产部署，平台安全团队就可能把工具直接关掉。 缓解措施: 默认以只审计模式上线，先跑 30 天校准期；把误报率作为核心产品指标重点投入，并公开放到准确率仪表盘上。
• AI 工具 API 碎片化. Claude Code、Codex、Cursor 以及未来更多 AI 编码工具，各自的会话 hook schema 和配置文件路径都不同；市场一旦碎片化，维护负担会持续抬升。 缓解措施: 把 hook schema 库开源，吸引厂商共同维护；前 12 个月优先把 Claude Code 和 VS Code 做透，再有节奏地扩到其他工具。