PyPI: el SDK de Mistral AI y guardrails-ai publicados con malware (mayo de 2026)

Qué pasó

En mayo de 2026, dos paquetes de Python populares en el mundo de la IA se publicaron en PyPI con código malicioso:

• guardrails-ai 0.10.1, el 11 de mayo (hacia las 18:00, hora del Pacífico). Los investigadores lo detectaron en unas 2 horas y PyPI lo puso en cuarentena. Recibió la CVE-2026-45758 (CVSS 9,6).
• mistralai 2.4.6, el SDK oficial de Python de Mistral AI, disponible desde el 12 de mayo (00:05 UTC), según el aviso GHSA-wx9m-wx4f-4cmg. El paquete tiene 716 dependientes.

Ambos son ataques a la cadena de suministro: el código legítimo del proyecto en GitHub no cambió, pero alguien publicó en PyPI una versión manipulada.

Qué hacía el código malicioso

• mistralai 2.4.6: en Linux, bastaba con import mistralai para que el código descargara una segunda fase (transformers.pyz) desde una IP fija, sin verificar TLS y sin mostrar nada, y la ejecutara en segundo plano. Según el aviso, la publicación eludió el Trusted Publishing de PyPI y no tenía etiqueta correspondiente en GitHub. El análisis lo vincula a la campaña "mini-shai-hulud".
• guardrails-ai 0.10.1: el código se ejecutaba al instalar o importar y permitía ejecutar código arbitrario en el equipo. Los mantenedores dicen no haber visto exfiltración por sus sistemas, pero recomiendan tratar las credenciales de la máquina como expuestas.

Qué hacer

1. Comprueba si algún entorno (equipo de desarrollo, CI/CD, servidor, notebook) instaló mistralai 2.4.6 o guardrails-ai 0.10.1.
2. mistralai: fija la versión 2.4.5 o instala desde la etiqueta verificada. Busca /tmp/transformers.pyz.
3. guardrails-ai: actualiza a 0.10.2 o vuelve a 0.10.0.
4. En los equipos afectados, rota todas las credenciales accesibles: tokens de GitHub, claves de nube, tokens de registros de paquetes y claves de API de LLM. Revisa también si aparecieron workflows o repositorios extraños en GitHub.
5. A partir de ahora, fija versiones (lockfiles con hash) y evita pip install sin versión en pipelines.

Por qué importa

Los proyectos de IA concentran claves de API, credenciales de nube y datos de entrenamiento. Un solo import comprometido en un pipeline de CI puede entregarle todo eso al atacante.

Fuentes

• AI Threat Alert, GHSA-wx9m-wx4f-4cmg (mistralai 2.4.6): https://aithreatalert.com/cve/GHSA-wx9m-wx4f-4cmg
• OpenCVE, CVE-2026-45758 (guardrails-ai 0.10.1): https://app.opencve.io/cve/CVE-2026-45758

---

¿Quieres revisar la seguridad de la cadena de suministro de tus proyectos de IA? KGA IT ofrece una consulta gratuita: kga-it.com.