פרויקט הקוד הפתוח LiteLLM, המשמש לחיבור וניהול מודלי AI, נפרץ ע"י תוקפים שפרסמו גרסה זדונית שהופצה דרך PyPI..

לפי צוות האבטחה של LiteLLM, התוקפים השתמשו ככל הנראה בטוקנים גנובים של שלושה מפתחים ב-GitHub כדי להפעיל ולאשר את תהליך שחרור הגרסה. הגרסא הזדונית (גרסה 1.107.0) כבר הוסרה, ומשתמשים שהתקינו אותה נדרשים להחליף את המפתחות.

זו הפעם השנייה השנה שבה LiteLLM נפגעת ממתקפת שרשרת אספקה. פעם קודמת זה היה על ידי קבוצת TeamPCP

למקור: t.me