pypi

PyPI现在拒绝向超过14天的发布版本上传新文件，以防止供应链攻击，这是由Seth Larson宣布的一项主动安全措施。

PyPI 现在拒绝向超过14天的发布版本上传新文件，这是一项安全措施，旨在防止通过篡改旧版本来实施的供应链攻击。这一变化是由 LiteLLM 和 Telnyx 遭入侵等事件推动的。

文章批评了将Trusted Publishing误解为人类信任机制的做法，澄清它是一种基于OIDC的机器对机器认证方案，通过消除长期凭证来提升安全性。

Critiqor 是一个开源运行时智能平台，能够评估 AI 代理的可观察运行时行为，生成可解释的诊断结果并提升可靠性，现已可在 PyPI 上获取。

PyPI现在支持为Pyodide发布WebAssembly wheels，允许包维护者直接分发他们自己的WASM包。本文以luau-wasm包为例进行演示。

Pyodide 314.0 版本标志着 PEP 783 的接受，这是一个里程碑，使得 Python 包能够直接将 WebAssembly wheels 发布到 PyPI，从而减轻了维护者的负担，并简化了 Python 在浏览器生态系统中的分发。

一条推文建议将 SSH 密钥使用硬件安全密钥（如 Yubikey）进行保护，并提及 npm、PyPI 和 Crates.io 上正在活跃的跨生态系统供应链攻击（TrapDoor），该攻击涉及恶意包和窃取加密货币的恶意软件。

PyTorch 2.11.0 现在将支持 CUDA 的 aarch64 wheels 发布到 PyPI，修复了 vLLM 在 NVIDIA Grace Hopper 和 Grace Blackwell 系统上长期存在的安装问题，无需再使用自定义索引 URL，并防止静默替换为 CPU wheel。

PyCon US 2026 上 Python 打包峰会的总结，涵盖主题包括 Wheel 2.0、Zstandard、PyPI 滥用向量以及 conda 与 pip 的比较。

一则关于通过 npm 和 PyPI 针对 AI 开发者工具（Hermes、OpenClaw）的供应链攻击的公开提醒，特别是名为“Mini-Shai Hulud”的蠕虫病毒，它能自我复制并窃取凭据、API 密钥和浏览器会话。文章建议使用沙盒执行并限制软件包年龄以降低风险。

一个发布在 PyPI 上的 Python 包，可快速生成充满 90 年代 GeoCities 怀旧风格的网站，非常适合用于趣味项目或复古 Web 项目。

一个用于计算星历和光谱数据的 Python 库，托管在 PyPI 上。

DriftGuard是一个PyPI包，为AI智能体添加了一个语义记忆层，使其能够记住过去的错误，并通过将提议的操作与过去失败的图谱进行比较来避免重复犯错。