Mistral AI 套件遭供應鏈攻擊，惡意程式碼潛入開發環境

駭客利用開發者對知名 AI 框架的信任，透過入侵 PyPI 套件庫，在更新版本中植入惡意程式碼。一旦開發者執行安裝，惡意程式便會自動下載第二階段載荷，企圖竊取敏感數據或破壞系統運作。此手法利用開發環境的自動信任機制，極具隱蔽性與破壞力。

一般開發者容易在更新套件時，忽略檢查程式碼來源的真實性，或過度信任官方發布的更新通知。駭客刻意模仿 Hugging Face Transformers 等知名庫的名稱，讓受害者難以察覺異常，進而放鬆防備。這種針對開發基礎設施的攻擊，往往造成大規模的間接損失。

建議開發者嚴格核對套件來源，僅從官方管道下載更新，並使用工具掃描程式碼中的異常行為。定期更新開發環境的依賴套件，並啟用兩因素驗證以保護帳戶安全。若發現異常，應立即斷開網路並通報相關安全團隊，防止惡意程式擴散。