Noticia · npm / GitHub Advisory Database · 2 min de lectura
Fecha del hecho: · Publicado:
GitHub marca el paquete npm depfix-ai como malware disfrazado de IA
La Base de Datos de Avisos de GitHub y el proyecto OSSF malicious-packages determinaron que toda versión del paquete npm depfix-ai, promocionado como herramienta de IA para corregir cambios de API, es malware sin ninguna versión segura.
La Base de Datos de Avisos de GitHub y el proyecto OSSF malicious-packages revelaron el 12 de noviembre de 2026 que el paquete npm depfix-ai, promocionado como una herramienta de IA que corrige automáticamente cambios de API que rompen la compatibilidad, es malicioso en cada versión publicada. El aviso completo está disponible en Malicious code in depfix-ai (npm).
Qué cambió
- GitHub Advisory Database publicó el aviso
GHSA-689j-99g2-vf2fpara el paquete npmdepfix-aiel 12 de noviembre de 2026 - OSV y el proyecto OSSF malicious-packages identifican el mismo paquete con el código
MAL-2026-19197 - depfix-ai se promocionaba como una herramienta de IA que detecta cambios de API o SDK que rompen la compatibilidad, corrige los puntos de llamada, ejecuta pruebas y abre pull requests
- Todas las versiones publicadas de depfix-ai son maliciosas y no existe ninguna versión corregida
- El aviso está clasificado bajo CWE-506, Embedded Malicious Code, con severidad crítica
Qué significa para quienes construyen con IA
El caso muestra que los atacantes están etiquetando paquetes maliciosos de la cadena de suministro específicamente como herramientas de IA para atraer a los desarrolladores a instalarlos. Quien use herramientas de codificación agentiva o correctores automáticos de dependencias debería revisar los paquetes npm etiquetados como IA con la misma cautela que cualquier otra dependencia sin verificar, ya que la etiqueta de IA se está usando como anzuelo.
Qué hacer ahora
El aviso indica que cualquier computadora donde se haya instalado o ejecutado depfix-ai debe considerarse totalmente comprometida. La remediación recomendada es eliminar el paquete por completo y rotar todos los secretos y claves desde una máquina limpia.
Fuentes
- Malicious code in depfix-ai (npm) (GitHub Advisory Database, 12 de noviembre de 2026, oficial)
Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.