轉載「AI模型套件Ultralytics遭駭，數千用戶的開發環境恐遭植入挖礦軟體」訊息

 AI模型套件Ultralytics遭駭，數千用戶的開發環境恐遭植入挖礦軟體

上週名為Ultralytics的PyPI套件驚傳遭遇供應鏈攻擊，駭客上傳了有問題的8.3.41、8.3.42版，一旦安裝，開發環境的運算資源就會被駭客用於挖礦，值得留意的是，相關攻擊行動似乎仍在持續。

 軟體供應鏈資安事故頻傳，上週有JavaScript軟體開發套件Solana Web3.js遭駭的情況，導致有部分開發人員的加密貨幣資產遭竊，如今又有類似的資安事故出現。

12月5日電腦工程博士Furkan Gözükara提出警告，擁有數百萬用戶的PyPI套件Ultralytics被入侵，導致用戶的環境被用於挖掘加密貨幣，由於此套件被用於訓練名為YOLO（You Only Look Once）的模型，因此已有許多用戶的Google Colab帳號，因出現濫用跡象而被停權。

物件偵測模型YOLO是由Ultralytics公司所開發的，號稱能即時且準確地偵測及識別串流影片當中的物件。而這次遭到攻擊的PyPI套件，全名是Ultralytics YOLO11，內建最新版本的YOLO模型，以及多種新增與改善功能，於GitHub得到超過3.3萬個星號、被複製、引用（fork）6,500次，並在一天之內就被下載超過26萬次。

 根據資安新聞網站Bleeping Computer的報導，有問題的8.3.41、8.3.42版Ultralytics套件是在5日上傳，一旦開發人員的電腦套用，就會一併被植入挖礦軟體，若是開發人員透過Google Colaboratory（Colab）建置這種被摻入惡意程式的開發環境，就有可能因為當中執行挖礦軟體而導致Colab帳號遭禁用。

 由於Ultralytics也是SwarmUI和ComfyUI的相依性套件，這兩款套件的開發者也證實，若是使用者全新部署相關程式庫，就有可能導致開發環境被植入挖礦軟體。

【資安新聞-iThome】

AI模型套件Ultralytics遭駭，數千用戶的開發環境恐遭植入挖礦軟體

詳細資訊請參考：https://www.ithome.com.tw/news/166417