惡意 PyTorch Lightning 套件竊取使用者憑證

攻擊者利用開發者對開源生態的信任，在 PyPI 上發布名稱與知名框架 PyTorch Lightning 極為相似的惡意套件。一旦開發者下載並安裝該套件，惡意程式便會在背景執行，掃描並竊取瀏覽器儲存的密碼、環境變數檔案以及雲端服務的存取金鑰。這種手法屬於技術基礎設施詐騙，專門針對軟體開發人員進行精準打擊。

一般開發者容易在尋找快速解決方案時，忽略對套件來源的嚴格審查，或未驗證套件發布者的身份與歷史記錄。許多開發者習慣直接複製貼上程式碼或安裝套件，卻未檢查其程式碼邏輯與權限請求，導致惡意程式趁虛而入。

建議開發者務必從官方管道下載套件，並仔細核對發布者身份與套件版本歷史。安裝前應使用靜態分析工具掃描程式碼，並限制套件的網路存取權限，避免在開發環境中直接執行未經驗證的第三方程式，以保護個人與組織的數位資產安全。