软件包发布凭证疑似被盗后，团队应如何判断影响范围并恢复可信交付？

# 核心结论

软件包发布凭证疑似被盗应按供应链安全事件处理，而不是只修改密码。团队需要立即阻止继续发布，保全证据，检查版本、标签、维护者和流水线是否被篡改，向下游明确风险，并从已确认可信的源码与环境重新构建。恢复可信交付的标准是源码提交、构建身份、依赖解析、产物摘要、签名或来源证明、注册表记录及审批信息能够形成一致且可审计的证据链。

# 底层机制

注册表凭证泄露后，攻击者可能发布恶意新版本、移动可变标签、修改弃用信息、增加维护者或利用相似包名诱导安装。即使代码仓库没有异常，使用版本范围的下游仍可能解析到恶意产物。包中的安装脚本还可能在开发机或持续集成环境中读取环境变量、篡改输出并建立外部连接，因此调查范围必须同时覆盖代