TAG

#Python

8 篇文章

TechLab 所有關於「Python」嘅文章、評測同教學，由最新排起。

LiteLLM發布流程遭入侵，受污染套件可在Python環境竊取雲端憑證與AI金鑰。受影響團隊應避免在原環境操作，先重建乾淨環境並輪換憑證。

iThome報道指，Google DevSite曾把OAuth用戶端密鑰放入Cookie，並以同一密鑰簽署Cookie，配合Python pickle反序列化流程可導致RCE。Google已於10月7日修補，事件反映密鑰隔離與資料反序列化的基本防線。

Python 3.15 將未指定編碼的文字檔讀寫預設改為 UTF-8，亦引入需明確啟用的延遲匯入。對仍有 Big5 舊資料與大型 app 的團隊，升級重點在相容性盤點、錯誤測試及量度實際啟動收益。

LiteLLM 今年3月有兩個 PyPI 版本俾人加咗偷憑證程式。CloudSEK 最新推算指，潛在暴露範圍涉及逾2,500間機構同約43.4萬條 CI/CD pipeline，不過呢啲數字唔代表全部已確認中招。用過 Python、AI API 同自動部署嘅團隊，而家應該點查同點補救？

LiteLLM 兩個受污染 PyPI 版本喺 3 月短暫上架，惡意程式會偷走 API key、SSH key 同雲端 credentials，仲識留低持久化後門。8 月披露嘅 195TB 數據同逾 2,500 間機構仍未獲獨立核實，但裝過相關版本嘅團隊要即刻查紀錄、清機同換 secrets。

GitHub 擴闊 Dependabot 嘅惡意套件資料來源，Python 專案而家都可收到 PyPI 套件警示。不過功能要自行開啟，收到通知亦要先核對套件來源，再移除依賴、重建環境同檢查憑證有冇外洩。

PyPI 收緊套件發布規則，release 建立超過 14 日後，維護者唔可以再補 wheel、source distribution 或其他檔案。改動會影響延遲支援新版 Python 同新平台嘅項目，亦堵住憑證失守後向穩定舊版加惡意檔案嘅缺口。

PyPI 而家會拒絕向推出超過 14 日嘅套件版本加入新檔案，堵住攻擊者利用外洩 token 污染舊版嘅可能。新限制亦會改變 maintainer 補 wheel、支援新版 Python 同設計 CI 發佈流程嘅做法。