Хакеры взломали LiteLLM через забытый мастер-ключ
Заражённую версию 1.107.0 скачали около 49 000 раз, хотя в каталоге PyPI она провисела всего около двух часов.
Фото: The Record
Разработчики LiteLLM, популярного открытого инструмента для создателей ИИ-сервисов, раскрыли, как хакеры подменили их пакет вредоносной версией. Всё началось с мастер-ключа, который команда случайно выложила в мае и так и не отозвала. По оценке компании Wiz, заражённую версию скачали около 49 000 раз.
Ключ давал доступ к внутреннему инструменту LiteLLM для запуска ИИ-агентов. В мае он попал в открытый конфигурационный файл. Файл команда удалила, а сам ключ оставила рабочим.
Как развивалась атака
В начале октября неизвестный злоумышленник воспользовался ключом и получил токен с контролем над всеми GitHub-репозиториями LiteLLM. Затем он обошёл несколько независимых защитных механизмов и выпустил версию 1.107.0 со встроенной программой для кражи паролей и ключей доступа. В каталоге Python-пакетов PyPI она провисела около двух часов.
Вредонос запускался при каждом старте Python на заражённом компьютере, даже если программа вообще не использовала LiteLLM. На это указала Microsoft. Уже через 4,5 часа после публикации пакета злоумышленник проверял украденные ключи AWS, чтобы понять, к каким ИИ-моделям Amazon есть доступ.
В Wiz считают, что это похоже на LLMjacking. Так называют схему, при которой преступники запускают ИИ-сервисы на чужих облачных аккаунтах, а счёт достаётся жертве. Ни одна организация пока публично не подтвердила взлом из-за этой версии.
Что делать пользователям
Тем, кто ставил версию 1.107.0 на компьютер с выходом в интернет, советуют считать свои учётные данные украденными. Нужно сменить все пароли и ключи доступа, до которых мог дотянуться этот компьютер. Сама LiteLLM отзывает токены во внутренних системах и у подрядчиков. Разбор инцидента компания опубликовала 23 октября.
Для LiteLLM это уже второй взлом цепочки поставок за год. В марте злоумышленники тоже выложили вредоносные версии в PyPI, и эту кампанию связали с группировкой TeamPCP. В Австралии полиция предъявила обвинения двум мужчинам, которых считают её участниками. Инструменты для ИИ-разработки становятся удобной мишенью: недавно исследователи показали, как файл в «Загрузках» подчиняет ИИ-агентов.
Источники: The Record — о взломе LiteLLM
