PyPI軟體儲存庫新年假期間被上傳PyTorch冒牌相依性套件

，呼籲去年最後一星期下載機器學習框架PyTorch-nightly版的開發人員應儘速移除。

PyTorch團隊指出，如果在12月25日到12月30日之間透過pip管理員安裝Linux 版PyTorch-nightly測試套件，應立即移除該套件及相依套件torchtriton，並安裝12月30日以後的nightly二進位檔。

這是因為在假期間出現在PyPI程式庫的相依套件torchtriton內有一個惡意二進位檔，為冒牌貨。這是名為「相依元件混淆（dependency confusion）」的軟體供應鏈攻擊手法，直接影響在公開PyPI上的套件相依套件。

PyTorch團隊在12月30日發現到惡意的相依性套件torchtriton被上傳到PyPI，其套件名稱和相同（冒牌者名稱為torchtriton v3.0.0）。由於PyPI index具有優先性，使得冒牌torchtriton會比正牌先被開發人員的pip下載安裝，這是因為其設計允許某人可以用早先存在第三方index的名稱來註冊套件名稱，而pip會預設先安裝PyPI的版本。

網頁設計最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問台中電動車哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。電動車補助推薦評價好的iphone維修中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝太陽光電聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。網頁設計一頭霧水該從何著手呢? 回頭車貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念台中搬家公司教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」台中搬家公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水露營車漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製,產品缺大量曝光嗎?你需要的是一流包裝設計Google地圖已可更新顯示潭子電動車充電站設置地點!!廣告預算用在刀口上，台北網頁設計公司幫您達到更多曝光效益

但PyPI團隊指出，這個惡意二進位檔需在使用者匯入triton套件，且需要明顯下執行指令才會執行，這並非PyTorch的預設行為。

截至1月1日為止，冒牌torchtriton套件已被下載了2,300多次。

安裝PyTorch穩定（stable）版的用戶不受影響。PyTorch團隊也公布指令以便開發人員或企業檢查其Python環境是否受到惡意套件的影響：

python3 -c "import pathlib;import importlib.util;s=importlib.util.find_spec('triton'); affected=any(x.name == 'triton' for x in (pathlib.Path(s.submodule_search_locations[0] if s is not None else '/' ) / 'runtime').glob('*'));print('You are {}affected'.format('' if affected else 'not '))"

https://www.ithome.com.tw/news/154974