蓝点网
·
由于钓鱼活动和滥用等 PyPI存储库宣布禁止使用俄罗斯Inbox.ru注册账户
内容提要
由于涉及钓鱼活动，PyPI 存储库自 6 月 9 日起禁止使用俄罗斯 Inbox.ru 邮箱注册账户。黑客利用该邮箱创建了 250 多个账户，发布了 1,500 多个安全威胁项目。为防止滥用，PyPI 已删除相关账户和项目，并更新了阻止列表。
关键要点
-
PyPI 存储库自 6 月 9 日起禁止使用俄罗斯 Inbox.ru 邮箱注册账户。
-
黑客利用 Inbox.ru 邮箱创建了 250 多个账户，发布了 1,500 多个安全威胁项目。
-
这些项目存在冒充其他知名项目、滥用资源及潜在安全问题。
-
PyPI 已删除相关账户和项目，以防止潜在的安全问题。
-
PyPI 使用 Disposable-email-domains 列表来阻止临时邮箱注册，并维护内部阻止列表。
-
滥用活动的时间线显示，账户创建和项目发布的速度非常快。
-
开发者报告指出 AI 提示安装的项目 Slopsquatting 实际上并不存在，提醒开发者在使用 AI 时需谨慎。
延伸解读
钓鱼活动的影响
PyPI 存储库的这一禁令反映了钓鱼活动对开源社区的威胁。黑客利用 Inbox.ru 邮箱创建大量账户，发布虚假项目，可能导致开发者误用这些项目，从而引发安全隐患。开发者需提高警惕，确保所用项目的来源可靠。
AI 提示的风险
文章提到开发者在使用 AI 工具时遇到虚假项目的情况，显示出 AI 在推荐时无法判断项目的真实性。这提醒开发者在依赖 AI 提示时，需自行验证项目的安全性，以避免潜在的安全风险。
PyPI 的应对措施
为了应对滥用行为，PyPI 采取了禁止特定邮箱注册和动态更新阻止列表的措施。这些措施虽然有效，但也表明开源平台在安全管理上面临持续挑战，开发者应关注平台的安全公告，及时调整使用策略。
延伸问答
为什么PyPI禁止使用Inbox.ru邮箱注册账户？
因为该邮箱涉及钓鱼活动，黑客利用它创建了250多个账户，发布了1500多个安全威胁项目。
PyPI采取了哪些措施来应对滥用行为？
PyPI删除了相关账户和项目，并更新了阻止列表以防止进一步的滥用。
滥用活动的时间线是怎样的？
滥用活动从2025年6月9日开始，账户创建和项目发布速度非常快，短时间内创建了大量账户和项目。
开发者在使用AI时需要注意什么？
开发者应谨慎，因为AI可能提示安装不存在的项目，如Slopsquatting，无法判断项目的安全性。
PyPI如何维护其阻止列表？
PyPI使用Disposable-email-domains列表并维护自己的内部阻止列表，动态更新以响应滥用行为。
Inbox.ru邮箱的滥用行为对PyPI造成了什么影响？
这些滥用行为导致了大量安全威胁项目的发布，增加了平台的安全风险。
