TAG

#Python

5 篇文章

TechLab 所有關於「Python」嘅文章、評測同教學，由最新排起。

LiteLLM 今年3月有兩個 PyPI 版本俾人加咗偷憑證程式。CloudSEK 最新推算指，潛在暴露範圍涉及逾2,500間機構同約43.4萬條 CI/CD pipeline，不過呢啲數字唔代表全部已確認中招。用過 Python、AI API 同自動部署嘅團隊，而家應該點查同點補救？

LiteLLM 兩個受污染 PyPI 版本喺 3 月短暫上架，惡意程式會偷走 API key、SSH key 同雲端 credentials，仲識留低持久化後門。8 月披露嘅 195TB 數據同逾 2,500 間機構仍未獲獨立核實，但裝過相關版本嘅團隊要即刻查紀錄、清機同換 secrets。

GitHub 擴闊 Dependabot 嘅惡意套件資料來源，Python 專案而家都可收到 PyPI 套件警示。不過功能要自行開啟，收到通知亦要先核對套件來源，再移除依賴、重建環境同檢查憑證有冇外洩。

PyPI 收緊套件發布規則，release 建立超過 14 日後，維護者唔可以再補 wheel、source distribution 或其他檔案。改動會影響延遲支援新版 Python 同新平台嘅項目，亦堵住憑證失守後向穩定舊版加惡意檔案嘅缺口。

PyPI 而家會拒絕向推出超過 14 日嘅套件版本加入新檔案，堵住攻擊者利用外洩 token 污染舊版嘅可能。新限制亦會改變 maintainer 補 wheel、支援新版 Python 同設計 CI 發佈流程嘅做法。