Les administrateurs du dépôt de paquets Python PyPI (Python Package Index) ont levé le blocage après avoir constaté que 1500 projets avaient été créés non par des malfaiteurs, mais par une équipe de sécurité de l'entreprise VK, qui possède le domaine inbox.ru. L'objectif déclaré était d'éviter des attaques potentielles sur les bibliothèques externes utilisées dans VK. Les représentants de VK se sont excusés et ont assuré qu'ils ne procéderaient plus ainsi pour enregistrer des projets afin d'identifier et de prévenir les attaques.
Rappelons que la semaine dernière, l'utilisation des adresses email @inbox.ru pour la création de nouveaux projets sur PyPI a été bloquée en raison de l'enregistrement de plus de 1500 projets qui pouvaient potentiellement être utilisés pour attaquer les utilisateurs suivant les recommandations des chatbots ou commettant des erreurs en écrivant les noms de paquets. Les projets utilisaient les noms de bibliothèques inexistantes, faussement recommandées par de grands modèles de langage (slopscotting) ou ressemblant à ceux de projets populaires.
Source : opennet.ru
