LiteLLM, tedarik zinciri saldırısıyla hacklendi.

Aceleyle mobilden yazdığım için bunu düzgün Markdown ile düzenleyemediğim için anlayışınızı rica ederim.

Ayrıntılar başlıkta bağlantısını verdiğim futuresearch blogunda var; 1.82.8 ve 1.82.7 sürümlerinde saldırı olduğu söyleniyor.

Şu anda yüklü olan LiteLLM sürümünü mutlaka kontrol etmenizde fayda var.

Şu anda GitHub'da bunun bir hack olup olmadığını gündeme getiren issue da yönetici tarafından hiçbir açıklama yapılmadan kapatılmış durumda, bu yüzden hack olma ihtimali yüksek görünüyor.

Eğer gerçekten doğruysa, tanınmış bir paket olduğu için etkinin büyük olabileceğini düşünüyorum; hızlıca duyurmak gerektiğini hissettiğim için ilk kez bir gönderi paylaşıyorum.

https://github.com/BerriAI/litellm/issues/24512

[carnoxen]

Bir yerden çok tanıdık geldiğini düşünmüştüm; meğer benim paylaştığım yazıda da adı geçmiş.

Open-Interface: LLM ile bilgisayarı kontrol etmek

Sanırım daha sonra README'de bahsedilen kısmı kaldırmak gerekecek...

[xguru]

Ayrıntılı bilgiye LiteLLM 1.82.7 ve 1.82.8 PyPI paketlerinin ihlal olayı üzerinden ulaşabilirsiniz.

LiteLLM, DSPy'nin tek LLM provider çağrı kütüphanesi ve CrewAI de bunu fallback olarak kullanıyor
Airflow, Dagster, http://Unsloth.ai, Polar, nanobot ve diğerleri de LiteLLM'e bağımlı
GitHub'da LiteLLM'i sürümü sabitlemeden içeren 628'den fazla proje var

İlgili kodları kullanıyorsanız, ihtimale karşı bir kontrol edin

[clumsily]

Araştırınca, trivy adlı bir güvenlik tarayıcısının (..?) saldırıya uğradığını ve bu ihlal temel alınarak ikinci bir saldırının gerçekleştiğini görüyorum.
Her hâlükârda durum ciddi görünüyor.

[esc5221]

Gerçekten çok ciddi.

[crawler]

GitHub issue’larına 100’den fazla bot hesap spam yorum bırakmış,
hacklenen GitHub hesabı da hesaptaki tüm projelerin açıklamasını şu şekilde değiştiriyor.
teampcp owns BerriAI

Şahsen issue’lara kadar spam yağması distopik bir his veriyor, gerçekten ürkütücü.