Ne oldu?
Açık kaynaklı yapay zekâ geçidi LiteLLM, çarşamba günü yazılımının zehirli bir sürümünün yayınlandığını duyurdu. Şirketin olay raporuna göre saldırganlar, ihtiyaç duydukları anahtarları LiteLLM'in kendi loglarından elde etti.
Token'lar nereden sızdı?
Rapora göre söz konusu GitHub token'ları, Anthropic'in kodlama ajanı Claude Code üzerinden açığa çıktı. LiteLLM mühendisleri, loglarda bulunan bu kimlik bilgilerinin zehirli sürümü yayınlamak için kullanıldığını tespit etti.
Neden önemli?
LiteLLM, farklı yapay zekâ modellerine tek arayüzden erişim sağlayan bir altyapı bileşeni. Bu tür bir tedarik zinciri saldırısı, yazılımı kullanan geliştirici ve kurumların sistemlerine sızma riski taşıyor. Olay raporu şirketin CEO'su, CTO'su ve güvenlik direktörü tarafından imzalandı.
Ne yapmalı?
LiteLLM kullanan ekiplerin sürümlerini kontrol etmesi ve GitHub token'larını yenilemesi öneriliyor. Kodlama ajanlarının loglara bıraktığı kimlik bilgileri de ayrıca gözden geçirilmeli.
