Incidente de malware de LiteLLM destaca preocupaciones de cumplimiento
Antecedentes
LiteLLM, una plataforma de código abierto que brinda a los desarrolladores un acceso fácil a una amplia gama de modelos de inteligencia artificial y características de gestión de gastos, se ha convertido en una herramienta popular en la comunidad de inteligencia artificial. El proyecto ha atraído a un gran número de contribuyentes y usuarios en GitHub.
Descubrimiento de malware
Un investigador de seguridad identificó código malicioso incrustado en una dependencia en la que confía LiteLLM. El malware robó credenciales de inicio de sesión de cualquier sistema que infectó, lo que le permitió propagarse a paquetes y cuentas de código abierto adicionales. La computadora del investigador se apagó después de descargar LiteLLM, lo que llevó al descubrimiento del código malicioso.
Respuesta e investigación
El equipo de ingeniería de LiteLLM inició un esfuerzo intensivo para mitigar el incidente. La empresa anunció que está llevando a cabo una investigación activa en colaboración con Mandiant y planea compartir lecciones técnicas con la comunidad de desarrolladores una vez que se complete la revisión forense.
Problema de cumplimiento
A pesar del incidente, el sitio web de LiteLLM sigue mostrando certificaciones para SOC 2 y ISO 27001, que fueron emitidas por la startup de cumplimiento Delve, respaldada por Y Combinator. Delve ha enfrentado acusaciones de engañar a los clientes sobre sus prácticas de cumplimiento, aunque niega esas alegaciones. La situación subraya que las certificaciones no previenen automáticamente los ataques de cadena de suministro, incluso cuando cubren políticas relacionadas con dependencias de software.
Reacción de la industria
El episodio ha generado un debate entre desarrolladores y profesionales de la seguridad sobre la confiabilidad de las certificaciones de cumplimiento y la importancia de la seguridad de la cadena de suministro vigilante. Los observadores señalaron la ironía de que un proyecto comercializado como "Seguro por Delve" aún fuera víctima de malware.
Usado: News Factory APP - descubrimiento de noticias y automatización - ChatGPT para Empresas