LiteLLM explica el ataque a su cadena de suministro: una clave filtrada en mayo permitió publicar una versión con malware
Útil para
LiteLLM, herramienta de código abierto para conectar modelos de IA, ha publicado las conclusiones de su investigación sobre el ataque a la versión 1.107.0. En mayo, el equipo subió por error a GitHub un archivo con la clave maestra de su plataforma de agentes de IA, y no la revocó. El atacante la usó el 10 de octubre para obtener tokens de mantenedores, desactivó la protección de ramas y publicó en PyPI y en el registro de contenedores una versión con un programa que roba credenciales. La versión fue retirada el 21 de octubre.
Qué significa
Quien descargara la versión 1.107.0 de PyPI o su imagen de contenedor en esas fechas pudo recibir código que roba credenciales, y el caso muestra que una clave sin revocar puede bastar para controlar una publicación.
Cómo te afecta
- CTO y tecnología
Comprueba si tu equipo instaló la versión 1.107.0 de LiteLLM desde PyPI o su imagen de contenedor entre el 10 y el 21 de octubre, y rota las credenciales que pudiera haber robado. Asegúrate también de que las claves maestras de tus plataformas de IA se revocan cuando se exponen.
Fuentes originales
Resumen de Hoy en IA. Pulsa una fuente para leer la noticia completa en su idioma original.
- iThomeLeer la noticia completa en iThome