2022年12月25日～30日に、Linux向けPyTorch-nightlyに対するセキュリティ侵害が発生

　Linux Foundation傘下である、Pythonによる機械学習ライブラリPyTorch開発チームは、Linux向けのPyTorch-nightlyがセキュリティ侵害を受けた可能性があることから、2022年12月25日～30日（現地時間）の期間にpip経由でLinuxにPyTorch-nightlyをインストールしている場合、ただちにtorchtritonとともにアンインストールし、最新のnightlyバイナリを使用するよう求めている。

　2022年12月25日～30日にインストールされたLinux向けのPyTorch-nightlyパッケージは、Python Package Index（PyPI）コードリポジトリで侵害された依存関係であるtorchtritonをインストールし、悪意のあるバイナリを実行してしまう。なお、安定版のPyTorchを利用しているユーザーは、この侵害の影響を受けない。

　Python環境が、侵害による影響を受けているかを確認するには、以下のコマンドを実行する。

python3 -c "import pathlib;import importlib.util;s=importlib.util.find_spec('triton'); affected=any(x.name == 'triton' for x in (pathlib.Path(s.submodule_search_locations[0] if s is not None else '/' ) / 'runtime').glob('*'));print('You are {}affected'.format('' if affected else 'not '))"

　悪意のあるバイナリはtritonパッケージがインポートされる際に実行されることから、上記のコマンドは、torchtritonパッケージ内の悪意のあるバイナリの検索を行う。

　現時点では、torchtritonがnightlyパッケージの依存関係から削除され、pytorch-tritonとPyPIに登録されたダミーパッケージに置き換えられている。また、torchtritonに依存するすべてのnightlyパッケージは、https://download.pytorch.orgのパッケージインデックスから削除されるとともに、PyPI上のtorchtritonパッケージの適切な所有権を取得し、悪意のあるバージョンが削除された。