案例 torchtriton-pypi-dependency-confusionAI 供应链全球
恶意“torchtriton”依赖混淆包经由 PyPI 波及 PyTorch
PyTorch 开发者在 PyPI 上发现了一个恶意的 torchtriton 依赖包，属于依赖混淆攻击；安全团队被建议检查受感染资源并轮换已暴露的密钥。
高针对 AI 的攻击状态: 已控制已核实案例档案
- 报道日期
- 2022年12月30日
- 地点
- 全球
- 目标
- PyTorch 用户及 PyPI 生态系统
- 严重程度
- 高
- 发起者
- 未知
- 行为者类型
- 未知
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
PyTorch 开发者在 PyPI 上发现了一个恶意的 torchtriton 依赖包，属于依赖混淆攻击；安全团队被建议检查受感染资源并轮换已暴露的密钥。
影响: 安装了该包的系统可能已被感染并导致密钥暴露；规模未说明。
谁发起了攻击
行为者: 未知
归因: 摘要中未说明。
动机: 未知
如何发生
攻击途径: 利用 PyPI 上的恶意 torchtriton 包实施依赖混淆攻击
根本原因: 开源项目 PyTorch 的依赖解析过程存在依赖混淆问题。
时间线
- 由 Wiz Research 报告
应对
PyTorch 开发者识别出该恶意依赖；各团队被建议检查受感染资源并轮换已暴露的密钥。
当前状态: 已控制
来源（在新标签页打开）
- Wiz Research wiz.io
引用此案例
恶意“torchtriton”依赖混淆包经由 PyPI 波及 PyTorch. AI Threat Watch, 案例 torchtriton-pypi-dependency-confusion, 2022年12月30日. https://aithreat.io/zh/cases/torchtriton-pypi-dependency-confusion/
永久链接: https://aithreat.io/zh/cases/torchtriton-pypi-dependency-confusion/