Miał miejsce atak supply chain. https://www.stepsecurity.io/blog/binding-gyp-npm-supply-chain-attack-spreads-like-worm Atak supply chain i w tym wpisie StepSecurity opisuje 57 przejętych pakietów npm oraz 286+ złośliwych wersji [1]. Najbardziej czytelnie podzielić je na rodziny pakietów, bo część nazw występuje w wielu wersjach [1]. ## Pakiety, które padły ofiarą - `@vapi-ai/server-sdk` — pierwszy i największy cel, ponad 408 tys. pobrań miesięcznie [1]. - `ai-sdk-ollama` [1]. - `autotel` [1]. - `awaitly` [1]. - `executable-stories` / `executable-stories-demo` [1]. - `node-env-resolver` [1]. - `wrangler-deploy` [1]. - `workflow` [1]. - `effect-analyzer` [1]. - `mountly` [1]. - `evolv-coder-lite` [1]. W tekście StepSecurity podaje też, że kampania objęła „dozens of packages across the `autotel`, `awaitly`, `executable-stories`, `node-env-resolver`, and `wrangler-deploy` families” oraz dodatkowo kilka konkretnych maintainerów i pakietów, w tym `jagreehal` i `@vapi-ai/server-sdk` [1]. ## Co było ważne technicznie Atak wykorzystywał `binding.gyp`, żeby uruchamiać kod podczas `npm install` bez używania klasycznych hooków `preinstall`/`postinstall` [1]. To oznacza, że zwykłe skanowanie tylko `package.json` mogło nic nie wykazać [1]. ## Jak sprawdzić siebie Najprościej przeszukać lockfile i drzewo zależności pod kątem tych nazw, np. `package-lock.json`, `pnpm-lock.yaml` i `yarn.lock` [1]. Jeśli widzisz którąkolwiek z tych nazw w wersji z okresu ataku, traktuj środowisko jako potencjalnie skażone [1]. ### Kluczowy krok Sprawdź najpierw, czy masz w lockfile albo `node_modules` choć jeden z tych pakietów: `@vapi-ai/server-sdk`, `ai-sdk-ollama`, `autotel`, `awaitly`, `executable-stories`, `node-env-resolver`, `wrangler-deploy` [1].

Mała tradycja na koniec miesiąca: zatrzymujemy się na chwilę i patrzymy wstecz. Mamy jako Polacy w zwyczaju, łatwo lecieć dalej i nie zauważyć, ile się faktycznie ruszyło/zmieniło w naszych życiach, czy projektach. U mnie maj to był głównie Claude Code w akcji — kilka nowych lekcji w Classroom, parę agentów które robią robotę za mnie w tle, no i nasza społeczność urosła do 382 osób, za co serdecznie dziękuję WAM. Kanał Youtube zbliża się za to WIELKIMI krokami do 1k widzów, a także pierwszy partnership, który zobaczycie na początku lipca, wraz z pełnym setupem "HERMES AGENT" (Wiekszość z Was zapewne zgadnie o kim mowa ;) Małymi krokami, ale do przodu. Teraz Wy. Nie musi być spektakularnie. Może postawiłeś pierwszego agenta. Może ogarnąłeś swój pierwszy CLAUDE.md. Może po prostu zrozumiałeś coś, co wcześniej było czarną magią. Co Ci się udało w maju — jedna rzecz, z której jesteś dumny? 👇

3h researchu YouTube w 5 minut — nowa lekcja w Classroom 🎬 Pokazuję cały pipeline /yt-search: Python skrypt z yt-dlp, ładowanie filmów do NotebookLM, 5 outputów z Gemini 2.5 (analiza, slide-deck, raport, mapa myśli, infografika). ▸ Plik skilla + search.py do pobrania w Classroom ▸ Przykładowy CSV + JSON output → Otwórz Classroom → PRZEWODNIK CLAUDE → C:AUDE + NOTEBOOK

Utknąłeś? Tutaj pytasz. Zasada jednego pytania które zawsze dostaję odpowiedź: ✅ Dobre pytanie: "Próbuję uruchomić Claude Code na Windows, dostaję błąd: [screenshot / tekst błędu]. Zrobiłem już: [co próbowałeś]. System: Windows 11." ❌ Złe pytanie: "Nie działa, pomocy" Im więcej kontekstu tym szybsza pomoc. Odpowiadam osobiście na każde pytanie które ma screenshot lub opis kroków. Pytaj śmiało. Każdy z nas kiedyś zaczynał.

Nie czekaj na wielki sukces. Tu świętujemy wszystko: → Udało Ci się zainstalować Claude Code? Win. → Pierwszy workflow zadziałał? Win. → Zaoszczędziłeś 20 minut na jakimś zadaniu? Win. → Dołączyłeś do community? Win — właśnie teraz. Napisz w komentarzu swój win z tego tygodnia. Nawet jeśli wydaje Ci się mały — dla kogoś kto dopiero zaczyna to może być dokładnie to czego potrzebował zobaczyć. Zaczynam: ✅ Filmy na Youtube, założenie społeczności Wasza kolej 👇