LiteLLM सप्लाई चेन अटैक से हैक हो गया है।
(futuresearch.ai)मोबाइल पर जल्दी-जल्दी लिख रहा/रही हूँ, इसलिए इसे ठीक से Markdown में सजा नहीं पाया/पाई, कृपया समझें.
शीर्षक में लिंक किए गए futuresearch ब्लॉग में विस्तृत जानकारी है, और उसमें कहा गया है कि 1.82.8 वर्जन और 1.82.7 वर्जन पर हमला है.
अभी आपके सिस्टम में इंस्टॉल किए गए LiteLLM का वर्जन ज़रूर जांच लें.
फिलहाल GitHub पर "क्या यह हैकिंग नहीं है?" कहकर मुद्दा उठाने वाला issue भी एडमिन ने बिना कुछ कहे बंद कर दिया है, इसलिए हैक होने की संभावना ज़्यादा लगती है.
अगर यह सच है, तो यह एक मशहूर पैकेज है, इसलिए नुकसान बड़ा हो सकता है. जल्दी बताना चाहिए लगा, इसलिए पहली बार पोस्ट कर रहा/रही हूँ.
5 टिप्पणियां
नाम कुछ जाना-पहचाना लगा, फिर याद आया कि मेरी पोस्ट में इसका ज़िक्र हुआ था
Open-Interface: LLM से कंप्यूटर को नियंत्रित करना
लगता है बाद में readme में उल्लेखित हिस्से को हटा देना चाहिए...
विस्तृत जानकारी LiteLLM 1.82.7 एवं 1.82.8 PyPI पैकेज compromise घटना में देख सकते हैं.
अगर आप कहीं संबंधित कोड इस्तेमाल कर रहे हैं, तो एक बार जांच ज़रूर कर लें
देखने पर लगा कि trivy नाम का एक security scanner (..?) compromise हो गया था, और उसी compromise के आधार पर secondary attack भी हुआ लगता है।
जो भी हो, मामला गंभीर है।
वाकई बहुत गंभीर है
GitHub issue में 100 से ज़्यादा bot accounts ने spam comments किए हैं,
और hack हुआ GitHub account अपने account में मौजूद सभी projects के description को इस तरह बदल रहा है।
teampcp owns BerriAI
व्यक्तिगत तौर पर, issue पर spam comments तक आना बहुत dystopian लगता है, इसलिए यह काफ़ी डरावना लग रहा है।