萨米（英语：Samy，又称作JS.Spacehero）是一种XSS蠕虫，作者出于恶作剧，将其设计于在网络社交媒体MySpace上自传播，并将作者萨米本人自动添加为关注者。最终事态却发展失控，并导致作者入狱。自从发布该蠕虫一来，它就吸引了大量的媒体关注。
该蠕虫的作者萨米·卡卡尔（Samy Kamkar）由于违反美国电子犯罪打击法于2006年被美国特勤局逮捕。他在2007年一月31日因重罪起诉而达成认罪协议。该项判决导致卡卡尔三年内被禁止使用电脑，并需完成90天的社区服务，以及承担一笔未公开数目的财务偿还。
该蠕虫用JavaScript实现，利用储存型XSS漏洞传播。它在每个被感染的用户页面显示一行字串“but most of all, samy is my hero”，并将自己复制在该用户页面。当新的用户点击被感染的用户页面时，就会触发该程序在用户的浏览器中运行，导致蠕虫进一步传播，在该新用户主页上再度复制。在短短20小时内，从2005年10月4日发布起，超过一百万的用户都运行了该程序。这让该作者的账户在该社交网络上的关注量指数级增长，并让萨米蠕虫成为历史上传播速度最快的计算机病毒。
目前仍有两位用户保留了该蠕虫传播的字样。
