Python: uv でパッケージのインストールにクールダウン期間を設ける - CUBE SUGAR CONTAINER

つい先日、著名な LLM API のプロキシサーバである LiteLLM 1 がサイバー攻撃による侵害を受けた。 結果として、攻撃者が不正なコードを挿入したバージョンのパッケージが PyPI 2 にアップロードされた。 github.com 現在は既に当該のバージョンは PyPI から削除されている。 しかし、公開されていたタイミングでユーザがインストールした場合には、不正なコードの実行につながる恐れがあった。 不正なコードが実行された場合には、端末がマルウェアに感染してユーザのクレデンシャルを含む情報が外部に送信 (窃取) されるなどの被害が生じた。 この事例から、Python を利用している環境において、PyPI を経由したサプライチェーン攻撃の被害を受けるリスクが現実となった。 したがって、今後は PyPI のユーザ側でもリスクを低減するための行動が重要になってくると考えられる。 今