发生了什么
2026年5月，AI领域两个热门Python包被植入恶意代码后发布到PyPI：
- guardrails-ai 0.10.1：5月11日（太平洋时间下午6点左右）发布。研究人员约2小时内发现，PyPI随即将其隔离。编号为CVE-2026-45758（CVSS 9.6）。
- mistralai 2.4.6：Mistral AI官方Python SDK，据安全公告GHSA-wx9m-wx4f-4cmg，自5月12日（UTC 00:05）起可下载。该包有716个下游依赖。
两者都是供应链攻击：GitHub上的正规代码未被修改，但有人向PyPI发布了被篡改的版本。
恶意代码做了什么
- mistralai 2.4.6：在Linux上，只要运行
import mistralai，代码就会从固定IP下载第二阶段载荷（transformers.pyz），关闭TLS校验且不输出任何信息，然后在后台运行。据公告，此次发布绕过了PyPI的Trusted Publishing，GitHub上也没有对应标签。分析将其与**"mini-shai-hulud"**攻击活动关联。 - guardrails-ai 0.10.1：代码在安装或导入时运行，可在主机上执行任意代码。维护者表示未发现经由其系统的数据外泄，但建议将该机器上的凭据视为已泄露。
应对措施
- 检查开发机、CI/CD、服务器、Notebook等环境是否安装过mistralai 2.4.6或guardrails-ai 0.10.1。
- mistralai：固定为2.4.5或从经验证的标签安装，并检查是否存在
/tmp/transformers.pyz。 - guardrails-ai：升级到0.10.2或回退到0.10.0。
- 在受影响的机器上，轮换所有可访问的凭据：GitHub令牌、云密钥、包仓库令牌和LLM API密钥，并检查GitHub上是否出现异常工作流或仓库。
- 今后应锁定版本（带哈希的锁文件），避免在流水线中使用不指定版本的
pip install。
为什么重要
AI项目集中了API密钥、云凭据和训练数据。CI流水线中一次被污染的import，就可能把这些全部交给攻击者。
来源
- AI Threat Alert, GHSA-wx9m-wx4f-4cmg (mistralai 2.4.6): https://aithreatalert.com/cve/GHSA-wx9m-wx4f-4cmg
- OpenCVE, CVE-2026-45758 (guardrails-ai 0.10.1): https://app.opencve.io/cve/CVE-2026-45758
想检查AI项目的供应链安全吗？KGA IT提供免费咨询：kga-it.com