本地 Canvas Agent 用来连接网站和用户自己电脑上的 Codex。它还负责持久化 Flow C 脚本队列、分段调用本机 Codex、自动回传草案,以及在网页关闭后继续把完成视频校验并保存到用户选择的磁盘目录。
OpenSSF/OSV advisory MAL-2026-13398 confirms this npm version as malicious.