#pypi のAIニュース

5件の記事

PyPI、14 日以上前のリリースへの新規アップロードを拒否

Python パッケージインデックス（PyPI）が、公開から 14 日を経過したリリースに対する新ファイルのアップロードを拒否する制限を導入し、トークン侵害による悪用を防ぐ。

FutureSearchの研究者Callum McMahonが発見したPyPI上のLiteLLMへのサプライチェーン攻撃により、4万回以上ダウンロードされた侵害バージョンが悪意のあるペイロードをインストールし、機密情報を収集・流出させた。LiteLLMは1日約300万回ダウンロードされている。

Callum McMahonがPyPIにLiteLLMマルウェア攻撃を報告し、Claudeのトランスクリプトを使用して脆弱性を確認し、対応策を決定した。Claudeは悪意あるコードを確認後、PyPIのセキュリティ連絡先を提案した。

Daniel HnykがBigQuery PyPIデータセットを使用し、悪意のあるLiteLLMパッケージがPyPIで公開されていた46分間のダウンロード数が約47,000件あったことを明らかにした。

Vibecodingやエージェントツールの支持者は生産性が大幅に向上すると主張する。しかし、 skepticは「なぜ目に見えるアプリが少ないのか」と疑問を呈し、ソフトウェア作成コストの低下が必ずしもソフトウェア需要の増加や生産量増に直結しないという前提を問うている。