案例 aliyun-ai-labs-pypi-pickleAI 供应链中国
冒充阿里巴巴AI Labs SDK的PyPI包在PyTorch模型中隐藏信息窃取程序
aliyun-ai-labs-snippets-sdk、ai-labs-snippets-sdk和aliyun-ai-labs-sdk三个包附带一个model.pt，其pickle载荷收集主机详情和.gitconfig并发送至一个阿里云OSS存储桶；约1600次下载。
高针对 AI 的攻击状态: 已解决已核实案例档案
- 报道日期
- 2025年5月22日
- 地点
- 中国
- 目标
- 使用阿里云AI Labs服务的开发者
- 严重程度
- 高
- 发起者
- PyPI账户“ai-aliyun”
- 行为者类型
- 犯罪团伙
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
aliyun-ai-labs-snippets-sdk、ai-labs-snippets-sdk和aliyun-ai-labs-sdk三个包附带一个model.pt，其pickle载荷收集主机详情和.gitconfig并发送至一个阿里云OSS存储桶；约1600次下载。
影响: 约1600次下载；受害者的IP、用户名、系统信息和Git配置被外泄
谁发起了攻击
行为者: PyPI账户“ai-aliyun”
归因: 由模仿阿里云Aliyun品牌的PyPI用户ai-aliyun发布；ReversingLabs指出代码会检查AliMeeting数据，表明目标是中国的开发者
动机: 开发者身份和基础设施侦察，很可能作为进一步入侵的第一阶段
如何发生
攻击途径: PyPI上的虚假SDK包，导入时加载一个PyTorch pickle，解码base64 Python并将数据外泄至aksjdbajkb2jeblad.oss-cn-hongkong.aliyuncs.com
根本原因: 基于pickle的模型文件在加载时执行代码；软件包注册表不检查嵌入的ML工件
时间线
- 软件包出现在PyPI上，可用时间不到24小时
- JFrog发布对模型内嵌载荷的分析
- ReversingLabs报告总下载量约1600次及针对AliMeeting的目标选择
应对
软件包已从PyPI移除；JFrog、ReversingLabs和OpenSSF发布了恶意包记录和指标
当前状态: 已解决
来源（在新标签页打开）
- JFrog Security Research research.jfrog.com
- Hackread hackread.com
- OSV MAL-2025-5096 osv.dev
引用此案例
冒充阿里巴巴AI Labs SDK的PyPI包在PyTorch模型中隐藏信息窃取程序. AI Threat Watch, 案例 aliyun-ai-labs-pypi-pickle, 2025年5月22日. https://aithreat.io/zh/cases/aliyun-ai-labs-pypi-pickle/
永久链接: https://aithreat.io/zh/cases/aliyun-ai-labs-pypi-pickle/