LiteLLM orqali ommaviy ma'lumotlar o'g'irlanishi: Terabaytlar miqdoridagi ma'lumotlar fosh etildi
Sun'iy intellekt dasturlarini rivojlantirishda ishlatiladigan LiteLLM vositasi ta'minot zanjiri hujumiga uchradi. Natijada, Microsoft, Amazon, Cisco kabi yirik kompaniyalarga tegishli terabaytlar miqdoridagi maxfiy ma'lumotlar, jumladan, kirish kalitlari va tokenlar o'g'irlangan. Ushbu ma'lumotlar 2500 dan ortiq tashkilotlarning tizimlariga kirish imkonini berishi mumkin. Hujum qisqa vaqt ichida sodir bo'lgan va Python Package Index'dan olingan zararlangan versiyalar orqali amalga oshirilgan.
Yaqinda aniqlangan xavfsizlik voqeasi sun'iy intellekt (AI) bilan bog'liq dasturiy ta'minotni ishlab chiqishda keng qo'llaniladigan LiteLLM nomli ochiq kodli vositaga qaratilgan ta'minot zanjiri hujumi natijasida yuzaga keldi. Ushbu hujum natijasida terabaytlab maxfiy ma'lumotlar, jumladan, dunyodagi eng yirik va sezgir tashkilotlarga tegishli kirish sirlari o'g'irlangan. Xavfsizlik firmalari CloudSEK va Hudson Rock tomonidan e'lon qilingan ma'lumotlarga ko'ra, Microsoft, Amazon, Cisco, Samsung va Salesforce kabi ko'plab mashhur kompaniyalarning ma'lumotlari fosh etilgan.
CloudSEK xabariga ko'ra, aniqlangan ma'lumotlar orasida bulutli kalitlar (cloud keys), omborxona tokenlari (repository tokens), SSH kalitlari, Kubernetes maxfiy ma'lumotlari (Kubernetes secrets), paketlarni joylashtirish uchun maxfiy ma'lumotlar (package publishing credentials), muhit o'zgaruvchilari (environment variables) va AI provayderlari kalitlari mavjud. Ushbu ma'lumotlar hujumchilarga 2500 dan ortiq tashkilotlarning tizimlariga kirish imkonini berishi mumkin.
Hudson Rock kompaniyasi bu ma'lumotlarni 195 terabaytlik faylni tahlil qilish orqali aniqlagan. Aniqlanishicha, ma'lumotlar o'g'irlanishi qurbonlar LiteLLM ning zararlangan versiyasini Python Package Index (PyPI) omborxonasidan yuklab olgan vaqtda, atigi 40 daqiqa ichida amalga oshirilgan. Hujumning aniq manbasi hozircha noma'lumligicha qolmoqda, biroq bu hodisa ta'minot zanjirining zaifligini va ochiq kodli vositalardan foydalanishdagi xavflarni yana bir bor yuzaga chiqardi.
Bu kabi hujumlar dasturchilar va kompaniyalar uchun jiddiy xavotirga sabab bo'ladi, chunki ular nafaqat moliyaviy yo'qotishlarga, balki obro'ga putur yetkazishga va mijozlar ishonchini susaytirishga olib kelishi mumkin. AI texnologiyalarining jadal rivojlanishi bilan birga, ushbu tizimlarning xavfsizligini ta'minlash tobora muhim ahamiyat kasb etmoqda.
Dasturchilar va kompaniyalar o'zlarining kod omborxonalari va API kalitlarini himoya qilishda yanada ehtiyot bo'lishlari, shuningdek, ishlatiladigan ochiq kodli vositalarning xavfsizligini muntazam tekshirib turishlari kerak.
AI kod muharriridan foydalanishda eng muhim qoida — kichik o'zgarish, ko'rinadigan diff, majburiy test va qaytarish mumkin bo'lgan commit.