PyPI 现已拒绝向超过14天的旧版本上传新文件，以防止发布令牌泄露导致恶意文件注入。此变更源于2026年LiteLLM等包被攻击事件，经数据分析和PyCon讨论后实施。用户需发布新版本以支持新Python版本，未来将定义更明确的关闭语义。

近期，恶意攻击者通过GitHub Actions窃取了PyPI发布令牌，但未成功发布包。攻击者修改了多个存储令牌的工作流，将其发送至外部服务器。虽然部分令牌被窃取，但未在PyPI上使用。已通知受影响的项目维护者并采取了相应措施。建议使用短期令牌和受信发布者以增强安全性。