15 000 razy pobrano fałszywy pakiet Pythona

Pakiety generowane przez sztuczną inteligencję mogą być w rzeczywistości złośliwym oprogramowaniem. Sfabrykowany huggingface-cli dla Pythona pobrano aż 15 000 razy.

Pusty pakiet został pobrany 15 000 razy, bo AI zmyśliło taką nazwę i uporczywie podpowiadało ją programistom. Wydaje się, iż profesjonaliści powinni sprawdzić, czy pakiet, który importują do projektu, to ten adekwatny. Nic bardziej mylnego, bo oprócz pobrań pakietu, rekomendacja do jego instalacji znalazła się w dokumentacji projektu firmy Alibaba.Całą sprawę wykrył Bar Lanyado, security researcher, pokazując, iż to może być nowy wektor ataku. Jego badania ujawniły, iż kilka znanych firm, w tym wspomniany sklep internetowy Alibaba, zintegrowało felerny pakiet do swojego kodu źródłowego.