2026年5月12日、Mini Shai-Hulud キャンペーンの第二波が発生しました。TanStack Router を起点に、UiPath、Mistral AI SDK、DraftLab 等を含む 199 以上の npm パッケージが侵害されています。本稿執筆時点で、侵害可能性は継続しています。 第一波(4月29日〜30日)では SAP CAP 系・intercom-client・lightning の 6 パッケージが対象でしたが、第二波では CI/CD パイプラインの侵害によって有効な SLSA Provenance(Build Level 3)付きで悪性バージョンが公開されるなど、手法の進化が見られます。 本記事は、弊社が Takumi Guard の解析基盤をベースに観測&分析した情報の他、先行レポート(StepSecurity) および TanStack のポストモーテム

