Lühidalt: Ründajad kompromiteerivad sihipäraselt PyPI pakette tehisintellekti tööahelates, sest sealt saab ühest kohast korraga kätte mudelikaalud, pilveteenuste tokenid ja CI/CD saladused.
24. märtsil 2026 kompromiteeris rühmitus TeamPCP LiteLLM-i PyPI-distributsiooni – Python-paketi, mida laaditakse alla 95 miljonit korda kuus – ja levitas selle kaudu pahavara. Juhtum on tüüpiline näide rünnakute sarjast, mis sihivad spetsiifiliselt tehisintellekti arenduskeskkondi.
TeamPCP sai ligipääsu LiteLLM-i hooldaja avaldamisõigustele ning avaldas manipuleeritud versioonid 1.82.7 ja 1.82.8. Kasutatud lasti moodustas .pth-fail – vähetuntud Pythoni mehhanism, mis käivitab koodi automaatselt iga interpretaatori käivituse käigus, ilma et selleks oleks vaja selgesõnalist importi. Zscaler ThreatLabzi andmetel olid mürgitatud paketid saadaval umbes kolm tundi, enne kui need karantiini pandi – allika sõnul piisas sellest ajast, et jõuda kümnetesse tuhandetesse ettevõtte keskkondadesse. Mitmeetapiline lasti oli suunatud AWS-i, GCP ja Azure’i tokenite, SSH-võtmete ning pilvekontode kasutajaandmete vastu. ReversingLabsi andmetel ei piirdunud kampaania üksnes LiteLLM-iga: TeamPCP oli varem kompromiteerinud ka usaldusväärseid avatud lähtekoodiga turbetööriistu nagu Aqua Trivy ja Checkmarx KICS, enne kui liikus edasi PyPI tehisintellekti infrastruktuuriteekide juurde. 2026. aasta aprilli lõpus avastati lisaks PyTorch Lightningi versioonides 2.6.2 ja 2.6.3 kasutajaandmeid varastav pahavara, mis käivitus importimisel; üksainus pahatahtlik töövoofail paljastas saladused terve CI/CD-torustiku ulatuses. ReversingLabs hindab pahatahtlike avatud lähtekoodiga pakettide arvu kasvuks 2026. aastal 73 protsenti.
CISO-de jaoks süveneb sellega tuntud risk üsna spetsiifilises kontekstis: tehisintellekti- ja masinõppe arenduskeskkonnad põimivad samas töökeskkonnas arenduse, teadustöö, pilveinfrastruktuuri, andmejuurdepääsu, mudelite avaldamise ja automatiseerimise. Kompromiteeritud Python-pakett tavalises veebirakenduses varastab halvimal juhul ühe andmebaasi kasutajaandme. Sama rünnak tehisintellekti arenduskeskkonnas võib ühe ainsa nakatunud sõltuvuse kaudu korraga paljastada mudelikaalud, treeningandmed, mitme pakkuja pilvetokenid, CI/CD-torustiku saladused ja tootmiskeskkonna API-võtmed. Lisandub ründevektor nimega slopsquatting: tehisintellekti koodiabilised soovitavad sageli pip install käske ja impordilauseid konkreetsete pakettide jaoks. Kui arendaja usaldab seda soovitust ja ründaja on juba registreerinud pahatahtliku paketi vastava – osalt LLM-i poolt hallutsineeritud – nime alla, õnnestub rünnak ilma igasuguse otsese suhtluseta arendajaga. Peaaegu 200 000 Pythoni-teemalise päringu analüüs näitas allika sõnul, et iga suurem LLM hallutsineerib paketinimesid, mida PyPI-s tegelikult ei eksisteeri, mistõttu tekib püsiv ründepind, mida üksikute mudeliuuenduste abil täielikult sulgeda ei õnnestu.
Konkreetse kohese meetmena nimetab artikkel sõltuvuste fikseerimist (pinning): lahtiste versiooninõuete, näiteks requests>=2.0, asemel tuleks iga sõltuvus tehisintellekti arenduskeskkonnas siduda kindla versiooniga ning kontrollida selle kontrollsummat teadaoleva räsi vastu. Ainuüksi see meede oleks LiteLLM-i juhtumi puhul piiranud kahju keskkondadega, mis olid aktiivselt uuendanud end kompromiteeritud versioonidele, selle asemel et tabada iga keskkonda, kus käivitati pip install litellm ilma versiooni fikseerimata. Teise meetmena tuuakse välja post-install-hookide auditeerimine arenduse tööahelas, kuna selliste hookide kaudu – nagu LiteLLM-i juhtumis .pth-mehhanismi kaudu – saab koodi käivitada automaatselt ilma selgesõnalise impordita.
Allikas: www.csoonline.com · Avaldatud 7. augustil 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.8.3 poolt.