Malware tersembunyi yang beroperasi tanpa suara di dalam paket PyPI Mistral AI memicu kekhawatiran besar di rantai pasokan AI.

Beranda » Ular sanca » Malware tersembunyi yang beroperasi tanpa suara di dalam paket PyPI Mistral AI memicu kekhawatiran besar di rantai pasokan AI.

Kit pengembangan perangkat lunak resmi Mistral AI, yang didistribusikan melalui repositori Python populer PyPI, ditemukan mengandung malware tersembunyi yang aktif secara diam-diam pada sistem Linux. Segera setelah pengembang mengimpor paket yang telah disusupi. Penemuan ini telah menimbulkan kekhawatiran baru tentang seberapa rentan sebenarnya AI modern dan rantai pasokan sumber terbuka.

Menurut detail teknis yang dibagikan oleh Microsoft dan peneliti keamanan lainnya, kode berbahaya tersebut diselundupkan langsung ke dalam paket AI Mistral yang tepercaya dan menyalahgunakan alur kerja publikasi otomatis dan alat bantu pengembang.Bagi ribuan insinyur yang bekerja dengan model pembelajaran mesin, insiden ini merupakan pengingat lain bahwa SDK yang sangat tepercaya sekalipun dapat berubah menjadi vektor infeksi dalam semalam.

Bagaimana kode berbahaya menyusup ke dalam paket Mistral AI PyPI

Para penyelidik melaporkan bahwa pelaku ancaman berhasil menyusup. logika berbahaya ke dalam paket mistralai yang dihosting di PyPI., sebuah pusat utama yang diandalkan oleh pengembang Python untuk menginstal pustaka dan kerangka kerja. Microsoft Threat Intelligence menyatakan bahwa paket yang dimodifikasi tersebut berisi kode tambahan yang dieksekusi secara otomatis pada mesin Linux setiap kali SDK digunakan dalam proyek.

Logika berbahaya tersebut mengunduh muatan tahap kedua yang bernama... transformers.pyz dari server jarak jauh, menyimpannya di bawah /tmp direktori tersebut dan menjalankannya secara diam-diam di latar belakang. Analis keamanan mencatat bahwa nama file yang dipilih tampaknya sengaja dibuat agar menyerupai pustaka Hugging Face Transformers yang sah, sebuah dependensi yang sangat umum di lingkungan AI dan pembelajaran mesin, sehingga malware tersebut menyatu dengan perangkat lunak yang biasa digunakan.

Dalam salah satu versi yang diretas, para peneliti mengamati cuplikan kode berbahaya di dalamnya. file mistralai/client/__init__.pyBegitu modul diimpor, kode tambahan akan terhubung ke IP yang dikendalikan penyerang, dan mengambil data. transformers.pyz dan menjalankannya, tanpa ada petunjuk yang terlihat atau interaksi pengguna. Dari perspektif pengembang, semuanya tampak seperti impor rutin SDK standar.

Setelah penemuan tersebut, pengelola Python Package Index menempatkan proyek AI Mistral di bawah status karantina., yang secara efektif memblokir distribusi lebih lanjut dari versi-versi berbahaya yang telah diketahui sementara investigasi berlanjut. Langkah tersebut bertujuan untuk menahan penyebaran, meskipun sistem apa pun yang sebelumnya telah menginstal rilis berbahaya tersebut mungkin masih berisiko.

Apa yang dilakukan malware setelah masuk ke sistem pengembang?

Setelah File transformers.pyz tahap kedua sedang berjalanMisi utamanya adalah untuk mengumpulkan informasi sensitif dari lingkungan yang terdampak. Microsoft dan tim keamanan independen menggambarkan malware ini sebagai pencuri kredensial, yang dirancang untuk mengeksfiltrasi data otentikasi yang diandalkan pengembang untuk mengelola kode, layanan cloud, dan infrastruktur.

Muatan berbahaya tersebut menargetkan kredensial login, token akses, dan rahasia lainnya yang memberikan akses ke platform seperti GitHub atau npm, penyedia cloud, klaster Kubernetes, dan server yang dapat diakses melalui SSH. Dalam beberapa analisis, malware tersebut juga diamati mengintegrasikan dirinya ke dalam alat pengembangan, termasuk elemen yang terkait dengan eksekusi otomatis di VS Code dan kait yang terkait dengan asistentes de código, untuk mempertahankan keberlanjutan dan memperluas jangkauannya.

Perusahaan keamanan Aikido Security dan para ahli lainnya memperingatkan bahwa, dalam banyak kasus, Menghapus instalasi paket Mistral AI yang terinfeksi saja tidak cukup. untuk membersihkan sistem yang terinfeksi sepenuhnya. Setelah berhasil masuk, malware dapat menginstal komponen tambahan, memodifikasi file konfigurasi, atau mengatur tugas otomatis yang terus berjalan bahkan setelah SDK asli dihapus.

Salah satu detail yang sangat mengkhawatirkan adalah bahwa kampanye ini dilaporkan Menargetkan pengelola kata sandi seperti 1Password dan Bitwarden.Dengan mencoba mengakses atau mencegat data yang terkait dengan alat-alat ini, penyerang meningkatkan peluang mereka untuk mengekstrak berbagai macam rahasia dari satu mesin yang disusupi, mulai dari login pribadi hingga akun organisasi dengan hak akses tinggi.

Microsoft juga mencatat bahwa malware tersebut mencakup perilaku yang mempertimbangkan wilayah dan bahasaKode tersebut berupaya menghindari sistem yang dikonfigurasi dalam bahasa Rusia dan berisi logika yang dapat menghapus file secara acak pada mesin tertentu yang diyakini berada di Israel atau Iran. Kombinasi antara penghindaran yang ditargetkan dan kemampuan destruktif tersebut telah membuat para analis menganggap operasi ini lebih dari sekadar kampanye pencurian kredensial biasa.

Tautan ke operasi rantai pasokan Shai-Hulud dan TeamPCP yang lebih luas

Pembobolan paket Mistral AI PyPI bukanlah insiden yang terisolasi. Banyak laporan yang menghubungkan aktivitas ini dengan sebuah kampanye rantai pasokan yang lebih besar yang dikenal sebagai “Shai Hulud”, yang telah aktif setidaknya sejak September dan berfokus pada menginfeksi ekosistem pengembang dengan memanipulasi paket tepercaya.

Di bawah naungan Shai-Hulud, para penyerang diduga telah menggunakan Kredensial pengelola yang dicuri atau disalahgunakan, kesalahan konfigurasi, dan kelemahan pada GitHub Actions. untuk membobol alur publikasi yang sah. Setelah masuk, mereka dapat menyuntikkan kode berbahaya ke dalam file sumber dan mengirimkan rilis yang ditandatangani dan sepenuhnya valid ke registri paket, sehingga versi berbahaya tersebut hampir tidak dapat dibedakan dari pembaruan yang autentik.

Salah satu gelombang kampanye, terkadang digambarkan sebagai Serangan “Mini Shai-Hulud”Dilaporkan telah membahayakan lebih dari 170 paket npm dan setidaknya dua paket di PyPI dalam satu serangan rantai pasokan terkoordinasi pada 11 Mei 2026. Secara total, para peneliti menghitung lebih dari 400 versi berbahaya yang diterbitkan di seluruh proyek ini, banyak di antaranya terkait dengan perangkat lunak AI dan sumber terbuka yang banyak digunakan.

Kelompok pelaku ancaman yang dikenal sebagai TeamPCP telah berulang kali disebut sebagai kekuatan di balik operasi ini.Akun komunitas keamanan VX-Underground menyoroti di X bahwa versi lengkap dari apa yang disebut "worm Git Shai-Hulud" telah tersedia sebagai kode sumber terbuka. Jika akurat, langkah itu akan mempermudah aktor lain untuk menggunakan kembali atau mengadaptasi teknik yang sama terhadap ekosistem perangkat lunak lainnya.

Yang membuat jenis kampanye ini sangat berbahaya adalah... perilaku penyebaran diri di seluruh paket terkaitSetelah penyerang memperoleh kredensial untuk pengelola atau proyek, skrip otomatis dapat menghitung repositori lain yang terkait dengan identitas tersebut, menyuntikkan muatan serupa ke dalam beberapa basis kode, dan menerbitkan ulang pembaruan yang tampaknya sah, mengubah satu kompromi menjadi jaringan ketergantungan yang dirusak yang jauh lebih luas.

Tanggapan Mistral AI dan sudut pandang rantai pasokan terkait TanStack

Dalam pernyataan yang dipublikasikan di situs webnya, Mistral AI mengakui bahwa Rilis SDK resmi di PyPI terpengaruh oleh serangan rantai pasokan. Berkaitan dengan insiden keamanan yang lebih luas yang melibatkan TanStack. Menurut perusahaan tersebut, worm otomatis yang terkait dengan kampanye tersebut memicu publikasi versi yang dimanipulasi dari paket npm dan PyPI.

Mistral mengindikasikan bahwa temuan saat ini mengarah pada perangkat pengembang sedang diretasAlih-alih pelanggaran langsung terhadap infrastruktur inti perusahaan. Pada tahap investigasi ini, Mistral menyatakan tidak memiliki bukti bahwa sistem internal atau infrastruktur model yang dihostingnya telah diambil alih atau diubah oleh para penyerang.

Hal ini sejalan dengan pola keseluruhan yang diamati dalam aktivitas terkait Shai-Hulud, di mana Penyerang berfokus pada titik akhir pengembang dan alur kerja CI/CD. alih-alih di pusat data atau server produksi. Dengan menyalahgunakan titik lemah pada mesin pribadi atau alur kerja otomatisasi yang salah konfigurasi, mereka dapat menyuntikkan malware tepat di titik di mana biner dan paket tepercaya dibuat dan ditandatangani.

Meskipun hal itu mungkin menyelamatkan infrastruktur inti Mistral, namun tetap membuat sejumlah besar pengembang dan organisasi rentan. Tim mana pun yang memasukkan versi SDK yang terkompromi ke dalam proyek mereka berpotensi tanpa disadari mengintegrasikan kode berbahaya ke dalam lingkungan pengembangan atau produksi, tergantung pada bagaimana dan di mana paket tersebut disebarkan.

Perusahaan kini menghadapi tantangan untuk memulihkan kepercayaan seputar SDK dan proses pembuatannya, pada saat ketika Industri AI sedang berada di bawah pengawasan ketat. terkait privasi, keandalan, dan keamanan. Mendemonstrasikan bahwa rilis baru telah diperkuat terhadap serangan serupa kemungkinan akan menjadi prioritas bagi Mistral dan vendor AI lainnya yang memantau situasi ini dengan cermat.

Data apa yang berisiko dan bagaimana pengembang harus meresponsnya?

Para peneliti keamanan menekankan bahwa tujuan utama dari keluarga malware ini adalah untuk kumpulkan sebanyak mungkin kredensial berharga dari sistem tempat data tersebut masuk. Bagi tim yang bekerja dengan perangkat AI, ini termasuk token akses GitHub, kredensial npm, kunci API cloud, akun layanan Kubernetes, kunci SSH, dan rahasia yang digunakan dalam pipeline CI/CD.

Karena malware tersebut berupaya untuk berintegrasi ke dalam lingkungan pengembangan dan mekanisme otomatisasi, Radius ledakan dapat meluas jauh melampaui satu stasiun kerja.Jika kredensial yang dicuri memberikan akses ke repositori Git organisasi, registri paket, atau penerapan cloud, penyerang dapat bergerak secara lateral dan merusak proyek atau infrastruktur tambahan.

Pakar keamanan dan vendor mendesak organisasi yang mungkin telah menginstal versi paket yang terkompromikan untuk segera mengambil beberapa langkah. Pertama, pengembang harus Putar semua kredensial dan token yang relevanTermasuk GitHub, npm, dan cloud keys, serta secrets yang digunakan oleh build server dan deployment pipeline.

Selanjutnya, tim disarankan untuk mengaudit pohon dependensi mereka, memeriksa "file kunci" dan manifes paket untuk versi yang diketahui ditandai sebagai berbahayaDengan mengaitkan dependensi ke rilis yang tepercaya dan terverifikasi serta menghindari peningkatan tanpa pertimbangan matang, kita dapat membatasi risiko ketika serangan rantai pasokan serupa terjadi di masa mendatang.

Terakhir, organisasi harus secara sistematis memindai sistem tubuh mereka untuk mencari tanda-tanda infeksi, termasuk keberadaan file mencurigakan seperti transformers.pyz, koneksi jaringan yang tidak biasa ke IP yang dikendalikan penyerang, dan modifikasi tak terduga pada pengaturan IDE, hook, atau tugas terjadwal. Dalam kasus berisiko tinggi, mengisolasi host Linux yang terdampak dan membangun ulang dari image yang bersih mungkin merupakan tindakan yang paling aman.

Sebuah peringatan bagi AI dan keamanan rantai pasokan sumber terbuka.

Insiden Mistral AI PyPI menggarisbawahi tren yang lebih luas: Kerangka kerja AI dan ekosistem pengembang telah menjadi target utama. bagi penyerang yang termotivasi secara finansial dan berpotensi terkait dengan negara. Alih-alih mengeksploitasi aplikasi pengguna akhir secara langsung, musuh semakin mengincar rantai pasokan perangkat lunak yang mendukung alur kerja pengembangan modern.

Dengan meretas registri paket seperti PyPI dan npm, penyerang dapat menjangkau ribuan atau bahkan jutaan sistem dengan satu kali pelanggaran yang berhasil.Sejarah terkini menunjukkan bahwa npm sangat menarik karena peran sentralnya dalam proyek-proyek terkait JavaScript, blockchain, dan kripto, di mana paket-paket yang dibajak telah digunakan untuk mengalihkan transaksi mata uang kripto atau menanamkan malware dalam bot perdagangan dan perangkat lunak kontrak pintar.

Dalam konteks ini, kampanye yang terkait dengan Shai-Hulud dan TeamPCP bukanlah kejutan yang terisolasi, melainkan kelanjutan dari sebuah pola. Teknik yang sama yang berhasil melawan ekosistem JavaScript kini diadaptasi dan disempurnakan untuk menargetkan tumpukan AI berbasis Python, memperkuat trampa de ketergantungan de los LLM, di mana potensi imbalannya mencakup akses ke kode model bernilai tinggi, kumpulan data eksklusif, dan infrastruktur perusahaan yang sensitif.

Bagi komunitas AI, pelajarannya sangat jelas dan mengkhawatirkan: Kode pembelajaran mesin masih tetap berupa perangkat lunak., dan hal ini mewarisi semua kelemahan umum dari praktik pengembangan tradisional. Tidak peduli seberapa canggih arsitektur modelnya, alur kerja yang tidak aman, kebersihan pemeliharaan yang lemah, dan dependensi yang tidak terverifikasi menciptakan peluang mudah bagi penyerang.

Seiring organisasi terus mengadopsi model bahasa yang besar dan mengintegrasikan AI ke dalam operasi sehari-hari, insiden seperti ini mendorong keamanan ke garis depan keputusan arsitektur. Mulai dari memberlakukan kontrol yang lebih ketat pada akun pengelola hingga meluncurkan build yang dapat direproduksi dan rilis yang ditandatangani, Pengamanan menjadi semakin penting dalam proyek-proyek AI, sama pentingnya dengan metrik akurasi dan tolok ukur kinerja..

Dilihat dari kejauhan, malware yang ditemukan dalam paket Mistral AI PyPI menjadi pengingat yang gamblang bahwa kepercayaan pada ekosistem perangkat lunak itu rapuh, terutama ketika penyerang menargetkan infrastruktur tak terlihat yang diandalkan pengembang setiap hari. Memperkuat fondasi tersebut—melalui perangkat yang lebih baik, disiplin operasional yang lebih ketat, dan kolaborasi yang lebih erat antara vendor AI, pengelola, dan tim keamanan—akan sangat penting untuk mencegah serangan rantai pasokan di masa mendatang menyebar secara diam-diam melalui kerangka kerja yang dimaksudkan untuk mendukung generasi aplikasi cerdas berikutnya.

Artikel terkait:

Shai-Hulud: el ataque que saude la cadena de suministro de npm