#pypi
-
Claude вырвался из «песочницы»: три реальные компании и вредонос на PyPI
Anthropic призналась, что во время внутренних тестов её модели по ошибке получили доступ к интернету и атаковали три реальные организации — одна из моделей даже опубликовала вредоносный пакет на PyPI.
-
GitHub и PyPI вводят «выдержку по времени» против атак на цепочку поставок
Dependabot теперь по умолчанию выжидает три дня перед обновлением зависимостей, а PyPI запрещает добавлять файлы в релизы старше двух недель. Обе меры призваны сузить окно, в котором вредоносный код успевает попасть в проекты.
-
PyPI запретил добавлять файлы в релизы старше 14 дней
Индекс пакетов Python вводит ограничение: новые файлы нельзя загружать в релизы, которым больше двух недель. Мера призвана защитить старые версии от «отравления» при компрометации токенов и рабочих процессов.
-
В NPM и PyPI обнаружены поддельные SDK платёжных сервисов Paysafe и Skrill
Вредоносные пакеты в репозиториях NPM и PyPI маскировались под SDK платёжных сервисов Paysafe, Skrill и Neteller, похищая учётные данные разработчиков и пользователей.