ეს არის სილიკონის ველის ერთ-ერთი ისეთი რეალური ეპიზოდი, რომელიც HBO-ს სატირულ სერიალს ჰგავს. ამ კვირაში, Y Combinator-ის კურსდამთავრებული LiteLLM-ის ღია კოდის პროექტში სერიოზული მავნე პროგრამა (malware) აღმოაჩინეს.
LiteLLM დეველოპერებს მარტივ წვდომას აძლევს ასობით AI მოდელზე. პროექტი უდიდესი პოპულარობით სარგებლობს — Snyk-ის მონაცემებით, მას დღეში 3.4 მილიონჯერ იწერენ. GitHub-ზე მას 40,000 ვარსკვლავი აქვს.
მავნე პროგრამა FutureSearch-ის მკვლევარმა კალუმ მაკმაჰონმა აღმოაჩინა. Malware პროექტში შეიპარა "დამოკიდებულების" (dependency) მეშვეობით, ანუ სხვა ღია კოდის პროგრამული უზრუნველყოფიდან, რომელსაც LiteLLM ეყრდნობოდა. პროგრამა იპარავდა ავტორიზაციის მონაცემებს (credentials) და მათი გამოყენებით უფრო მეტ პაკეტსა და ანგარიშზე იღებდა წვდომას.
LiteLLM-ის გადმოწერის შემდეგ მაკმაჰონის კომპიუტერი გაითიშა, რამაც მას გამოძიებისკენ უბიძგა. ირონიულია, მაგრამ მავნე პროგრამაში არსებულმა ხარვეზმა გამოიწვია სისტემის კრახი. კოდი იმდენად ცუდად იყო დაწერილი, რომ მაკმაჰონი და ანდრეი კარპათი მივიდნენ დასკვნამდე, რომ ის ე.წ. "vibe coded" იყო. LiteLLM-ის დეველოპერებმა შეძლეს პრობლემის რამდენიმე საათში აღმოფხვრა.
თუმცა, ამ ისტორიას მეორე მხარეც აქვს. LiteLLM-ის ვებსაიტზე კვლავ განთავსებულია ინფორმაცია SOC2 და ISO 27001 უსაფრთხოების სერტიფიკატების ფლობის შესახებ, რომლებიც მათ სტარტაპ Delve-ის დახმარებით მოიპოვეს.
Delve არის Y-Combinator-ის AI სერტიფიცირების სტარტაპი, რომელსაც ახლახან ბრალად დასდეს ყალბი მონაცემების გენერირება და აუდიტის ანგარიშების არაჯეროვანი შემოწმება. მიუხედავად იმისა, რომ სერტიფიცირება ავტომატურად ვერ აფერხებს მავნე პროგრამების შემოჭრას, ის უსაფრთხოების ძლიერი პოლიტიკის არსებობაზე უნდა მიუთითებდეს.
LiteLLM-ის CEO-მ კრიშ დოლაკიამ Delve-ის გამოყენებაზე კომენტარის გაკეთებისგან თავი შეიკავა. „ჩვენი მთავარი პრიორიტეტია აქტიური გამოძიება Mandiant-თან ერთად. ჩვენ მზად ვართ, ინციდენტის შედეგად მიღებული გამოცდილება გავუზიაროთ დეველოპერების საზოგადოებას, მას შემდეგ, რაც ჩვენი აუდიტი დასრულდება“, - განაცხადა მან.
წყარო: techcrunch.com
