Mistral-AI-PyPI-Paket durch Supply-Chain-Angriff kompromittiert
Das Mistral-AI-Python-Paket v2.4.6 auf PyPI ist im Rahmen der Mini-Shai-Hulud-Malware-Kampagne kompromittiert worden, die gleichzeitig TanStack-Pakete auf npm ins Visier nimmt und sich in KI-Entwickler-Ökosystemen ausbreitet. Microsoft untersucht den Vorfall. Der Angriff könnte GitHub-Tokens, Cloud-Plattform-Credentials und CI/CD-Pipeline-Secrets bei jedem Entwickler offengelegt haben, der die betroffene Version installiert hat. Die Reichweite der Kampagne auf PyPI und npm deutet auf einen koordinierten, breitflächigen Supply-Chain-Angriff hin.
Warum das wichtig ist
Jedes Team, das das Mistral-AI-Python-Paket v2.4.6 in seinem Dependency-Tree hat, sollte seine Credentials als potenziell kompromittiert betrachten und GitHub-, Cloud- sowie CI/CD-Secrets umgehend erneuern — bis eine vollständige Untersuchung abgeschlossen ist.