当你得知某个已遭入侵的包在你的构建主机上执行时，肌肉记忆便会接管：撤销 npm 令牌、轮换 GitHub PAT、轮换云密钥。在我处理过的几乎所有供应链事件中，这一反应都是正确的。然而，在自昨日以来持续演变的 keyv/cacheable 入侵事件中，这是你首先不应采取的措施——因为撤销被盗令牌恰恰会激活有效载荷。