OpenSSF

Source: AWS Security Blog (13 nov. 2025). Des chercheurs d’Amazon Inspector ont découvert plus de 150 000 paquets npm liés à une campagne coordonnée de « token farming » associée à tea.xyz, dépassant largement les 15 000 paquets initialement signalés par Sonatype en avril 2024. L’équipe a utilisé une détection hybride (règles + IA) pour mettre en évidence un schéma d’attaque auto-réplicant visant des gains financiers. 🚨 Nature et impact: Contrairement aux malwares classiques, ces paquets ne contiennent pas de code explicitement malveillant mais exploitent le mécanisme de récompense de tea.xyz en gonflant artificiellement les métriques via réplication et chaînes de dépendances. Les risques clés sont: pollution des registres (npm saturé de paquets non fonctionnels), exploitation des ressources (infrastructure/bande passante/stockage), effet de précédent (incitation à copier le modèle), et risques supply chain (dépendances inutiles et comportements inattendus). ...

La conférence SciPy 2025, telle que rapportée par Emerging Technology Security, a mis en lumière des avancées significatives dans le domaine de la sécurité de l’IA utilisant Python. Les discussions ont porté sur des thèmes clés tels que l’IA explicable pour la conformité et la transparence, l’utilisation de l’analyse de graphes pour la détection des menaces, les pratiques sécurisées de déploiement des LLM (modèles de langage de grande taille), et la vérification des modèles via OpenSSF Model Signing. ...