Αυτό είναι ένα από εκείνα τα πραγματικά επεισόδια της Silicon Valley που φαίνεται να έχουν βγει από τη σάτιρα του HBO. Αυτή την εβδομάδα, ανακαλύφθηκε κάποιο πραγματικά φρικτό κακόβουλο λογισμικό σε ένα έργο ανοιχτού κώδικα που αναπτύχθηκε από Απόφοιτος Y Combinator LiteLLM.
Το LiteLLM παρέχει στους προγραμματιστές εύκολη πρόσβαση σε εκατοντάδες μοντέλα τεχνητής νοημοσύνης και παρέχει λειτουργίες όπως διαχείριση δαπανών. Είναι μια μεγάλη επιτυχία, που λήφθηκε έως και 3,4 εκατομμύρια φορές την ημέρα, σύμφωνα με τον Snykένας από τους πολλούς ερευνητές ασφαλείας που παρακολουθούν το περιστατικό. Το έργο είχε 40 χιλιάδες αστέρια στο GitHub και χιλιάδες πιρούνια (αυτοί που το χρησιμοποίησαν ως βάση για να το αλλοιώσουν και να το κάνουν δικό τους).
Το κακόβουλο λογισμικό ανακαλύφθηκε, τεκμηριώνεται και αποκαλύπτεται από τον ερευνητή Callum McMahon της FutureSearch, μιας εταιρείας που προσφέρει πράκτορες AI για έρευνα στον ιστό. Το κακόβουλο λογισμικό εισήλθε μέσω μιας «εξάρτησης», που σημαίνει άλλο λογισμικό ανοιχτού κώδικα στο οποίο βασίστηκε η LiteLLM. Στη συνέχεια έκλεψε τα διαπιστευτήρια σύνδεσης για οτιδήποτε άγγιξε. Με αυτά τα διαπιστευτήρια, το κακόβουλο λογισμικό απέκτησε πρόσβαση σε περισσότερα πακέτα ανοιχτού κώδικα και λογαριασμούς για τη συλλογή περισσότερων διαπιστευτηρίων και ούτω καθεξής.
Το κακόβουλο λογισμικό έκανε το μηχάνημα του McMahon να τερματιστεί μετά τη λήψη του LiteLLM. Αυτό το γεγονός τον ώθησε να το ερευνήσει και να το ανακαλύψει. Κατά ειρωνικό τρόπο, ένα σφάλμα στο κακόβουλο λογισμικό προκάλεσε την έκρηξη του υπολογιστή του. Επειδή αυτό το κομμάτι του άσχημου κώδικα σχεδιάστηκε τόσο ατημέλητα, αυτός (όπως επίσης Ο διάσημος ερευνητής AI Andrej Karpathy) κατέληξε στο συμπέρασμα ότι πρέπει να έχει κωδικοποιηθεί ως vibe.
Οι προγραμματιστές LiteLLM εργάζονται ασταμάτητα αυτή την εβδομάδα για να διορθώσει την κατάσταση και τα καλά νέα είναι ότι πιάστηκε σχετικά γρήγορα, πιθανότατα μέσα σε λίγες ώρες.
Υπάρχει ένα άλλο μέρος σε αυτό το έπος αυτό παιδιά στο Χ δεν μπορώ να σταματήσω να μιλάω για. Η LiteLLM, από τις 25 Μαρτίου που εξετάσαμε, εξακολουθεί να εμφανίζει περήφανα στον ιστότοπό της ότι έχει περάσει δύο σημαντικές πιστοποιήσεις συμμόρφωσης με την ασφάλεια, το SOC2 και το ISO 27001.
Αλλά χρησιμοποίησε μια startup που ονομάζεται Delve για αυτές τις πιστοποιήσεις.
Εκδήλωση Techcrunch
Σαν Φρανσίσκο, Καλιφόρνια
|
13-15 Οκτωβρίου 2026
Η Delve είναι η startup συμμόρφωσης με το Y-Combinator AI, η οποία κατηγορείται ότι παραπλανεί τους πελάτες της σχετικά με την πραγματική συμμόρφωσή τους με τη φερόμενη δημιουργία πλαστών δεδομένων και τη χρήση ελεγκτών που σφραγίζουν αναφορές. Η Delve αρνήθηκε αυτούς τους ισχυρισμούς.
Υπάρχει ένα σημείο που αξίζει να γίνει κατανοητό εδώ. Τέτοιες πιστοποιήσεις αποσκοπούν στο να δείξουν ότι μια εταιρεία εφαρμόζει ισχυρές πολιτικές ασφαλείας για τον περιορισμό της πιθανότητας συμβάντων όπως αυτό. Οι πιστοποιήσεις δεν εμποδίζουν αυτόματα μια εταιρεία, όπως η LiteLLM, να χτυπηθεί από κακόβουλο λογισμικό. Ενώ το SOC 2 υποτίθεται ότι καλύπτει πολιτικές που αφορούν τις εξαρτήσεις λογισμικού, το κακόβουλο λογισμικό εξακολουθεί να μπορεί να εισχωρήσει.
Ακόμα κι έτσι, όπως τόνισε ο μηχανικός Gergely Orosz στο Χ όταν είδε ανθρώπους να το κοροϊδεύουν στο Διαδίκτυο, “Ω διάολε, νόμιζα ότι ήταν ένα αστείο. … αλλά όχι, το LiteLLM *πραγματικά* ήταν “Secured by Delve””.
Όσο για το LiteLLM, ο Διευθύνων Σύμβουλος Krrish Dholakia δεν είχε κανένα σχόλιο σχετικά με τη χρήση του Delve. Είναι ακόμα απασχολημένος να καθαρίσει το ατυχές χάος από το να είναι θύμα επίθεσης.
“Η τρέχουσα προτεραιότητά μας είναι η ενεργή έρευνα μαζί με το Mandiant. Δεσμευόμαστε να μοιραστούμε τα τεχνικά μαθήματα που αντλήθηκαν με την κοινότητα προγραμματιστών μόλις ολοκληρωθεί η ιατροδικαστική μας εξέταση”, είπε στο TechCrunch.
Via: techcrunch.com
