AI開発者の間で広く使われているオープンソースツール「LiteLLM」は金曜日、5月に誤って公開された鍵が、先週発生したサプライチェーン攻撃の原因だったと明らかにしました。この攻撃では、数万人規模のユーザーが被害を受けたとみられています。
同プロジェクトは金曜日に公開した根本原因分析で、攻撃の発端を数カ月前の自社のミスにあると突き止めました。LiteLLMがAIエージェントの実行に使う社内ツールのマスターキーを含む設定ファイルを、誤って公開していたのです。
同社は当時、この公開に気付いてファイルを削除しましたが、露出した鍵の失効は怠っていました。今月初め、身元不明の攻撃者がこの鍵を使ってLiteLLMのツール群にアクセスし、GitHub上のLiteLLMの全リポジトリを制御できるアクセストークンを入手しました。
最初のインシデント報告によると、攻撃者は先週、「複数の独立したセキュリティ対策」を突破し、認証情報を窃取するマルウェアを仕込んだバージョンのツールをユーザーに配布しました。
Google傘下のクラウドセキュリティ企業Wizは、問題のパッケージが約4万9,000回ダウンロードされたと説明しています。LiteLLMユーザーから盗まれたクラウド認証情報は、数時間以内に試用されていたということです。
悪意あるパッケージは、Python Package Index（PyPI）に約2時間とどまっていました。最初のアップロードから約4時間半後には、攻撃者が盗んだAmazonのクラウドサービス「AWS」のログイン情報を使い、各アカウントがAmazonのどのAIモデルにアクセスできるかを調べていました。
Wizは、これが「LLMjacking」と呼ばれる手口に当てはまると指摘しています。犯罪者が盗んだクラウドアカウントでAIサービスを動かし、被害者に料金を負担させる手口です。このリリースに関連した侵害を公に認めた組織は、今のところありません。
Microsoftによると、このマルウェアは、感染したマシンでPythonが起動するたびに実行される仕組みでした。実行中のプログラムがLiteLLM自体を一切使っていない場合でも動作します。
LiteLLMは、侵害されたバージョン（1.107.0）をインターネットに接続したコンピューターにインストールした場合、認証情報が盗まれたものと想定するよう呼びかけています。該当するユーザーには、影響を受けたコンピューターがアクセスできるすべてのパスワードとアクセスキーを変更するよう勧めています。
LiteLLM自身も、社内システムとベンダーのプラットフォーム全体でトークンを失効させているといいます。
LiteLLMのサプライチェーン侵害は、今年これが2件目です。3月には、攻撃者が悪意あるバージョンをPyPIに公開しました。この攻撃は後に、ハッキング集団TeamPCPによるものと結び付けられています。オーストラリア警察はその後、TeamPCPのメンバーとされる男2人を起訴しました。
翻訳元: https://therecord.media/litellm-hackers-ai-malware
