Một loạt gói phần mềm dành cho lập trình viên, bao gồm cả gói Python chính thức của Mistral AI trên PyPI, đã bị chèn mã độc, làm lộ GitHub token, thông tin đăng nhập cloud và cả dữ liệu từ ví mật khẩu.
Diễn biến này ảnh hưởng trực tiếp đến hệ sinh thái phát triển AI và crypto, nơi nhiều dự án phụ thuộc vào các gói mã nguồn mở. Điều được theo dõi nhiều nhất lúc này là phạm vi gói bị nhiễm, mức độ rò rỉ dữ liệu và việc xoay vòng các khóa truy cập.
- Gói mistralai trên PyPI bị phát hiện có mã độc thực thi khi được import.
- Chiến dịch Mini Shai-Hulud đã ảnh hưởng hơn 170 gói và phát hành 404 phiên bản độc hại.
- Dữ liệu bị nhắm tới gồm token GitHub, khóa cloud, SSH key, ví mật khẩu và thông tin liên quan đến công cụ phát hành gói.
Gói mistralai trên PyPI bị chèn mã độc khi import
Microsoft Threat Intelligence đang điều tra phiên bản 2.4.6 của gói mistralai trên PyPI sau khi phát hiện mã độc trong file mistralai/client/__init__.py. Đoạn mã này chạy ngay khi được import, tải một payload thứ cấp từ 83.142.209.194 xuống /tmp/transformers.pyz rồi khởi chạy trên hệ thống Linux.
Tên tệp được dùng để giả mạo khung làm việc Transformers của Hugging Face, khiến hành vi độc hại dễ bị che giấu trong quy trình phát triển. Gói bị ảnh hưởng xuất hiện trong cùng một chiến dịch tấn công chuỗi cung ứng rộng hơn, thường được gọi là Mini Shai-Hulud.
Mini Shai-Hulud đã lan sang hàng trăm gói phần mềm
Chiến dịch này được ghi nhận là đã xâm phạm hơn 170 gói và phát hành 404 phiên bản độc hại trong khoảng thời gian từ ngày 11 đến 12 tháng 5. Mức độ phủ rộng cho thấy đây không phải là một vụ việc đơn lẻ mà là một đợt tấn công chuỗi cung ứng có tổ chức.
Vụ việc cũng gắn với CVE-2026-45321 và điểm CVSS 9,6, tức mức độ nghiêm trọng rất cao. Điểm đáng lo là các gói độc hại còn mang theo provenance SLSA Build Level 3 hợp lệ, làm suy yếu niềm tin vào cơ chế xác thực chuỗi cung ứng dựa trên attestation.
Mã độc nhắm vào token, khóa truy cập và ví mật khẩu
Biến thể mới của mã độc không chỉ lấy cắp khóa SSH hay thông tin đăng nhập cloud, mà còn nhắm tới ví mật khẩu như 1Password và Bitwarden. Danh sách mục tiêu còn gồm AWS, GCP, Kubernetes service account, GitHub token và thông tin xác thực để phát hành gói npm.
Dữ liệu bị đánh cắp được đưa ra ngoài qua nhiều kênh khác nhau, gồm một tên miền typosquat, mạng Session và các kho GitHub được tạo bằng token đã chiếm được. Mã độc cũng có cơ chế tự thoát nếu phát hiện ngôn ngữ Nga, và có hành vi phá hoại trong một số trường hợp được định vị ở Israel hoặc Iran.
Mistral nói hạ tầng lõi không bị xâm phạm
Mistral cho biết hạ tầng lõi của công ty không bị ảnh hưởng và vụ việc bắt nguồn từ một thiết bị lập trình viên bị chiếm quyền trong chiến dịch tấn công rộng hơn. Bản phát hành mistralai==2.4.6 được tải lên ngay sau nửa đêm UTC ngày 12 tháng 5, trước khi PyPI đưa dự án vào diện cách ly.
Các gói npm liên quan như @mistralai/mistralai, @mistralai/mistralai-azure và @mistralai/mistralai-gcp cũng đã xuất hiện trong vài giờ trước khi bị gỡ. Tổng lượt tải hằng tuần của các gói bị ảnh hưởng vượt 518 triệu, trong đó @tanstack/react-router riêng lẻ đạt 12,7 triệu lượt tải mỗi tuần.
Nhà phát triển cần làm gì nếu từng cài gói bị ảnh hưởng
Những người đã cài các phiên bản bị ảnh hưởng được khuyến nghị xoay vòng lại cloud credentials, GitHub token, SSH key và exchange API key. Ngoài ra, cần kiểm tra các thư mục .claude/ và .vscode/ để phát hiện dấu hiệu tồn tại của cơ chế bám trụ.
Với các cuộc tấn công chuỗi cung ứng kiểu này, rủi ro không chỉ nằm ở gói phần mềm bị nhiễm mà còn ở dữ liệu nhạy cảm đã bị lấy đi trong quá trình xây dựng và triển khai. Việc rà soát nhanh môi trường phát triển và khóa truy cập là bước cần làm sớm nhất.
Tổng kết
Vụ việc cho thấy một gói phần mềm tưởng như quen thuộc vẫn có thể trở thành điểm xâm nhập vào toàn bộ chuỗi phát triển, đặc biệt trong hệ sinh thái AI và crypto vốn dùng nhiều công cụ mã nguồn mở.
