Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
[미 재무부, Anthropic의 Mythos AI 취약점 점검 위해 접근 추진](https://www.bloomberg.com/news/articles/2026-04-14/us-treasury-seeking-access-to-anthropic-s-mythos-to-find-flaws)
◦ 미 재무부, 고성능 AI ‘Mythos’ 취약점 탐지 위해 접근 시도
• 재무부 기술팀이 Anthropic의 Mythos 모델 접근을 추진 → 사이버 보안 취약점 사전 탐지 목적
• CIO 샘 코르코스, 내부 사이버보안팀에 기술 브리핑 진행 및 대응 준비 지시
• 제한된 기관에만 공개된 모델 → 정부 차원의 선제적 리스크 대응 움직임
◦ Mythos, 강력한 사이버 공격 도구로 악용 가능성 제기
• Anthropic 자체 경고: 충분한 테스트 없이 공개 시 사이버 공격에 활용 가능
• 실제 테스트 결과:
- 주요 운영체제 및 웹 브라우저 전반에서 취약점 탐지 및 악용 가능
- 4개 취약점 연계한 브라우저 익스플로잇 코드 생성 사례 확인
• → AI 발전이 곧 사이버 위협 증가로 이어질 수 있음을 시사
◦ 미 정부 및 금융권, AI 기반 사이버 리스크 대응 강화
• 재무장관 베센트 + 연준 의장 파월 → 월가 주요 인사 긴급 회동
• 금융권에 Mythos 활용한 취약점 탐지 및 대비 촉구
• JPMorgan 포함 주요 은행들 내부 테스트 진행 중
◦ Anthropic, 정부와 협력 의지 밝히며 테스트 프로그램 운영
• ‘Project Glasswing’ 통해 일부 기관과 제한적 테스트 진행
• 정부와 지속적 논의 중 → 연방·주·지방 협력 가능성 강조
◦ 정부-기업 갈등: 공급망 리스크 지정 및 법적 분쟁
• 미 국방부, Anthropic을 공급망 리스크로 지정
→ 군사용 AI 활용 방식 갈등이 원인
• 6개월 내 서비스 이전 요구 → Anthropic은 연방법원에서 대응 중
• → 정부는 경계하면서도 동시에 기술 접근 시도하는 이중적 태도
◦ 핵심 인물 및 배경
• 샘 코르코스: 2025년 재무부 CIO 임명, 과거 Anthropic 기술 도입 장려
• DOGE 조직 참여 → 정부 효율화 및 기술 혁신 역할 수행
원문 발췌:
- "it was capable of identifying and then exploiting vulnerabilities in every major operating system and every major web browser when directed by a user to do so."
#Anthropic#Mythos