MITRE ATLAS
mitre-atlas-cs0015
PyTorch 相依套件鏈遭汙染
- AI 供應鏈
- 資料外洩
2022 年 12 月 25 日至 30 日間，PyTorch 預先發行版本 PyTorch-nightly 的 Linux 套件遭到汙染：有人把一個惡意的二進位套件上傳到 Python 套件索引（PyPI），而這個套件的名稱和 PyTorch 的某個相依套件相同，導致 pip 安裝的是這個惡意套件，而不是原本的正版套件。 這種供應鏈攻擊也稱為「相依套件混淆」（dependency confusion），使得以 pip 安裝受影響 PyTorch-nightly 版本的 Linux 主機，機敏資訊遭到外洩。2022 年 12 月 30 日，PyTorch 公布了這起事件與初步的緩解措施，包括把 `torchtriton` 相依套件更名並移除。