Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
Trump a prelungit încetarea focului după ce Pakistanul a cerut timp suplimentar pentru o nouă rundă de discuții cu Iranul. Islamabadul spune că există încă șanse reale pentru un acord, iar Washingtonul vrea să evite reluarea imediată a confruntărilor.
colaj generat de #copilot
Licitația care miroase a scutire: cum poate fi folosită o procedură publică pentru a evita plata a zeci de milioane către stat
REPOWER NORTH avea un aviz de racordare de 72,6 MW, dar a intrat în licitație cu doar 4,2 MWeolian. Diferența ridică întrebarea esențială: investiție reală sau mecanism de evitare a taxei de nevalorificare?
Documentele analizate conturează nu o simplă neclaritate administrativă, ci un posibil mecanism prin care un operator privat evită plata unei taxe de zeci de milioane către stat. Aviz mare, nevalorificat; taxă potențială uriașă; participare minimală la licitație; o excepție legală convenabilă; și o interpretare instituțională care pare să împingă scadența dincolo de termen.
REPOWER NORTH deținea un aviz de 72,6 MW valabil până în 2026. Nevalorificarea lui putea genera o taxă de cel puțin 36,3 milioane lei. În locul aplicării regulate a legii, apare o succesiune de acțiuni care ridică suspiciuni serioase.
Compania participă la licitație cu doar 4,2 MW, restul capacității fiind trecut în zona de stocare — practic, capacitatea rezervată nu mai corespunde cu cea ofertată.
Elementul-cheie este art. 72 alin. (10) din Legea 164/2025, care permite titularilor de avize ce participă la licitații și nu câștigă să renunțe la aviz fără plata taxei de nevalorificare. Astfel, simpla participare devine o potențială cale de evitare a obligației financiare.
Mai mult, după confirmarea participării, apare o interpretare administrativă care ar fi împins efectele expirării avizului până la anunțarea rezultatelor licitației. Dacă se confirmă, nu mai vorbim doar despre o portiță legală, ci despre intervenția autorităților în favoarea unui operator aflat în pragul unei obligații bugetare majore.
Schema, în esență:
• rezervi o capacitate mare;nu o valorifici;
• te apropii de scadență;
• intri în licitație cu o ofertă minimală;
• invoci excepția;
• statul pierde banii.
Cazul depășește zona tehnică și ridică suspiciuni de capturare a reglementării.
Întrebările publice inevitabile:
• Cine a introdus excepția în lege și la solicitarea cui?
• Cine a interpretat-o în favoarea companiei?
• Cine a decis amânarea efectelor expirării avizului?
• De ce ANRE nu aplică legea și se ascunde în spatele unei scrisori a Ministerului Energiei?
• Ce prevederi permit „suspendarea” unui aviz de racordare?
• Și de ce statul pare să protejeze investitorul, nu interesul public?
///
Imagine creată de #copilot
Buongiorno ragazzi 😊 mi prendo in anticipo augurandovi un buon 2024 e ne approfitto per consigliarvi questa nuova applicazione di Microsoft per l’intelligenza artificiale! #Copilot che Integra GPT-4 gratuitamente e funziona veramente alla grande! Da provare 😉
⬇️⬇️⬇️⬇️⬇️⬇️⬇️⬇️
https://shorturl.at/dryDT