Compromised PyTorch-nightly dependency chain between December 25th and December 30th, 2022. – PyTorch

Blog Compromised PyTorch-nightly dependency chain between December 25th and December 30th, 2022. If you installed PyTorch-nightly on Linux via pip between December 25, 2022 and December 30, 2022, please uninstall it and torchtriton immediately, and use the latest nightly binaries (newer than Dec 30th 2022). $ pip3 uninstall -y torch torchvision torchaudio torchtriton $ pip3 cache purge PyTorch-nig

[door-s-dev]

んーpipの問題なのか。大分前から指摘されてたのに修正できてない？

[efcl]

pipは、社内レジストリとPyPIに同じパッケージ名があった場合に、PyPIを優先してインストールするため、PyPIに同じ名前おかれたマルウェアをインストールしてしまうというDependency Confusionを使ったサプライチェーン攻撃

[utgwkk]

“Compromised PyTorch-nightly dependency chain between December 25th and December 30th, 2022.”

[sora_h]

Python の依存関係まわり常に数年遅れてるイメージがある (ほかの package manager で対策済みの道。。。)

[wata_d]

四月頭とかだと影響もっとあったかも？

[zu2]

“Compromised PyTorch-nightly dependency chain between December 25th and December 30th, 2022. ”

[Nyoho]

supply chain attack なる攻撃によりnightly buildがやられたとのことです。