PyPI 供应链防护：保护你的 Mac 免受被篡改软件包的侵害

近期，PyPI 上 LiteLLM 版本 1.82.7 和 1.82.8 遭到篡改，在 Python 社区引发了强烈震动。正如 Reddit 上广泛讨论的那样，这些恶意软件包试图窃取环境变量和敏感数据。这并非孤立事件——供应链攻击正变得越来越复杂，专门针对开发者本地环境，而这些环境的安全措施往往最为薄弱。

问题不仅在于安装了被篡改的软件包，更在于我们对自己的依赖项在开发机上究竟做了什么完全缺乏可见性。当你运行 pip install 时，实际上是在向未知代码授予对本地环境的根级访问权限。传统的解决方案（如虚拟环境）虽然有助于隔离不同版本的 Python，却无法阻止恶意软件包的执行。

目前大多数开发者采用以下手动方法：

# 创建哈希校验文件
pip hash downloaded_package.whl > hash.txt

# 与官方发布的哈希值进行比对
curl -s https://pypi.org/pypi/package_name/json | jq -r '.releases."1.2.3"[].digests.sha256'

# 配置 pip 强制校验哈希值
pip install --require-hashes -r requirements.txt

# 监控可疑活动
sudo fs_usage -f filesystem pip

尽管这些步骤有所帮助，但操作繁琐且容易被遗忘。MacFlow 通过其软件包安全功能提供了更优的解决方案：

1. 利用 OSV.dev 对已安装的软件包进行全面漏洞扫描
2. 支持包括 Pip 在内的多种包管理器
3. 提供清晰的漏洞报告，并按“严重/高危/中等”进行分类
4. 便捷获取修复命令
5. 检测环境漂移，追踪意外变更

当发生类似 LiteLLM 被篡改的事件时，MacFlow 的漏洞扫描器会立即提醒你相关的已知 CVE 漏洞，同时其环境漂移检测系统会追踪你的 Python 环境中任何异常变化。

掌控你的 Python 安全。立即下载 MacFlow 测试版，并在你的设备上运行一次安全扫描。

前往 macflow.ai 下载 MacFlow 亲自体验

查看我们此前发布的文章：“合法还是恶意？验证 Mac 开发工具的必备指南”。