LiteLLM spune că o cheie expusă accidental în mai, dar nerevocată, a permis atacatorilor să ajungă la depozitele sale GitHub și să distribuie malware printr-un pachet Python. Versiunea compromisă ar fi fost descărcată de aproximativ 49.000 de ori săptămâna trecută, într-un incident care a vizat utilizatorii unui instrument open-source folosit de dezvoltatorii de inteligență artificială.
În analiza cauzei publicată vineri, proiectul a identificat drept punct de plecare un fișier de configurare care conținea cheia principală a unui instrument intern folosit pentru rularea agenților AI. Compania a observat publicarea fișierului în mai și l-a eliminat, însă nu a revocat cheia expusă.
De la o cheie uitată la controlul depozitelor GitHub
La începutul acestei luni, un atacator neidentificat ar fi folosit cheia pentru a accesa instrumentele LiteLLM și a obține un token cu drepturi de control asupra tuturor depozitelor proiectului de pe GitHub. Raportul inițial al incidentului spune că, săptămâna trecută, atacatorul a ocolit „mai multe controale de securitate independente” pentru a publica o versiune malițioasă a pachetului.
Pachetul, versiunea 1.107.0, a fost disponibil pe Python Package Index (PyPI) timp de aproximativ două ore. Potrivit companiei de securitate cloud Wiz, descărcările au ajuns la circa 49.000, iar datele de autentificare cloud furate de la utilizatori erau deja testate în câteva ore.
La aproximativ patru ore și jumătate de la încărcarea inițială, atacatorul încerca datele de conectare sustrase pentru serviciul cloud Amazon Web Services (AWS), verificând ce modele AI putea accesa fiecare cont. Wiz descrie acest tipar drept „LLMjacking”: infractorii folosesc conturi cloud compromise pentru a rula servicii AI, iar costurile ajung în sarcina victimelor.
Malware-ul putea porni odată cu Python
Microsoft a precizat că malware-ul era proiectat să ruleze la pornirea limbajului Python pe un sistem infectat, chiar dacă programul lansat nu utiliza LiteLLM. Prin urmare, compromiterea nu se limita neapărat la aplicațiile care integrau direct instrumentul, ci putea expune credențiale accesibile de pe calculatorul afectat.
LiteLLM le recomandă celor care au instalat versiunea 1.107.0 pe un computer conectat la internet să presupună că datele lor de autentificare au fost furate. Măsura indicată este schimbarea tuturor parolelor și cheilor de acces la care sistemul respectiv putea ajunge; compania spune că revocă, la rândul ei, tokenuri din sistemele interne și de pe platformele furnizorilor.
Nicio organizație afectată nu a confirmat public, până la publicarea informațiilor citate, o breșă legată de această versiune. Absența unei confirmări nu dovedește însă că datele nu au fost folosite: Wiz a observat testarea rapidă a credențialelor AWS, ceea ce face importantă verificarea jurnalelor de acces și a consumului neobișnuit de servicii cloud.
Lecțiile incidentului pentru organizațiile din România și UE
Pentru companiile și instituțiile din România și din UE care dezvoltă sau găzduiesc aplicații AI, cazul arată că un secret eliminat dintr-un fișier public nu mai poate fi considerat sigur. Echipele ar trebui să verifice dacă versiunea 1.107.0 a ajuns în medii de lucru, să rotească secretele accesibile de pe acestea și să caute utilizări AWS sau alte accesări neobișnuite.
Incidentul evidențiază și riscul concentrat în lanțul de aprovizionare software: accesul la un token de publicare sau la depozite poate transforma o eroare de configurare într-un atac asupra utilizatorilor. Organizațiile pot reduce expunerea prin blocarea versiunilor aprobate, verificarea provenienței dependențelor și monitorizarea instalărilor și a activității conturilor cloud.
Este al doilea incident de compromitere a lanțului de aprovizionare care vizează LiteLLM în acest an. În martie, atacatorii au publicat versiuni malițioase pe PyPI, într-o campanie asociată ulterior grupării TeamPCP; poliția australiană a pus sub acuzare între timp doi bărbați despre care susține că ar fi membri ai grupării.
