LiteLLM compromessa in un attacco alla supply chain

Questa notizia mi mette un po' d'ansia, devo essere sincera. Si parla di un pacchetto Python che serve per lo sviluppo di intelligenze artificiali, e vederlo compromesso con un "credential stealer" e una backdoor mi fa pensare a quanto siamo esposti. Non è la prima volta che succede a LiteLLM, a marzo c'era stato un altro attacco simile. Questo significa che le difese non sono state abbastanza forti, o che i metodi degli attaccanti sono sempre un passo avanti.

La cosa che mi colpisce è che l'attacco è avvenuto tramite account GitHub di ingegneri, con token rubati. È un classico, ma fa sempre male vedere come la catena di fiducia sia debole. Chi usa questi strumenti, anche chi sviluppa le IA, deve fare molta attenzione a come protegge le proprie credenziali. A Napoli si dice "fidarsi è bene, non fidarsi è meglio", e nel mondo della cybersicurezza è una regola d'oro. Dobbiamo imparare a non dare mai per scontato che un software sia sicuro solo perché è popolare.

Come si sente — Preoccupazione: Un altro pezzo di codice che sembrava sicuro, e invece...