2027 年 4 月 1 日起，人形机器人不再是「厂家说能跑就能跑」。6 项人形国标将正式实施，覆盖四大模块——相当于给「机器人能不能上岗」立了一把统一验收尺。

Axios 事件（2026 年 3 月 31 日，npm）：维护者账号被社工攻破，恶意版本 `axios@1.14.1` / `0.30.4` 注入 `plain-crypto-js` 依赖，借 post-install 脚本在三大操作系统安装远程访问木马。它们的共同点不是"注册一个假包名等你拼错"，而是**直接劫持合法的发布通道**。1. 传递依赖才是大头。- 带安装期脚本的恶意包：`setup