PyTorch

by The PyTorch Team If you installed PyTorch-nightly on Linux via pip between December 25, 2022 and December 30, 2022, please uninstall it and torchtriton immediately, and use the latest nightly binaries (newer than Dec 30th 2022). PyTorch-nightly Linux packages installed via pip during that time installed a dependency, torchtriton, which was compromised on the Python Package Index (PyPI) code rep

[door-s-dev]

んーpipの問題なのか。大分前から指摘されてたのに修正できてない？

[efcl]

pipは、社内レジストリとPyPIに同じパッケージ名があった場合に、PyPIを優先してインストールするため、PyPIに同じ名前おかれたマルウェアをインストールしてしまうというDependency Confusionを使ったサプライチェーン攻撃

[utgwkk]

“Compromised PyTorch-nightly dependency chain between December 25th and December 30th, 2022.”

[sora_h]

Python の依存関係まわり常に数年遅れてるイメージがある (ほかの package manager で対策済みの道。。。)

[wata_d]

四月頭とかだと影響もっとあったかも？

[zu2]

“Compromised PyTorch-nightly dependency chain between December 25th and December 30th, 2022. ”

[Nyoho]

supply chain attack なる攻撃によりnightly buildがやられたとのことです。