Lühidalt: Ründajad kompromiteerivad sihilikult PyPI pakette tehisintellekti tööriistaahelates, kuna seal on mudelikaalud, pilveteenuste tunnusandmed ja CI/CD saladused koondatud ühte kohta ning kergesti kättesaadavad.
24. märtsil 2026 kompromiteeris rühmitus TeamPCP LiteLLM PyPI-distributsiooni – Pythoni paketti, mida laaditakse alla 95 miljonit korda kuus – ja levitas selle kaudu pahavara. Juhtum on tüüpiline näide ründelainest, mis sihib teadlikult tehisintellekti arenduskeskkondi.
TeamPCP sai ligipääsu LiteLLM hooldaja avaldamisõigustele ja avaldas manipuleeritud versioonid 1.82.7 ja 1.82.8. Kasulikuks koormaks kasutati .pth-faili – vähetuntud Pythoni mehhanismi, mis käivitab koodi automaatselt iga interpretaatori käivitumisel, ilma et selleks oleks vaja otsest importi. Zscaler ThreatLabzi andmetel olid mürgitatud paketid saadaval umbes kolm tundi, enne kui need karantiini pandi – allika hinnangul piisavalt kaua, et jõuda kümnete tuhandete ettevõtte keskkondadeni. Mitmeastmeline pahavara sihtis AWS-i, GCP ja Azure’i tunnuseid, SSH-võtmeid ning pilvekontode tunnusandmeid. ReversingLabsi sõnul ei piirdunud kampaania üksnes LiteLLM-iga: TeamPCP oli varem kompromiteerinud ka usaldusväärseid avatud lähtekoodiga turbetööriistu nagu Aqua Trivy ja Checkmarx KICS, enne kui suundus PyPI-s tehisintellekti infrastruktuuriteekidele. 2026. aasta aprilli lõpus leiti lisaks PyTorch Lightningi versioonidest 2.6.2 ja 2.6.3 tunnusandmeid varastavat pahavara, mis käivitus impordi käigus; üksainus pahatahtlik töövoo fail paljastas saladused kogu CI/CD-torustiku ulatuses. ReversingLabsi andmetel kasvas pahatahtlike avatud lähtekoodiga pakettide arv 2026. aastal 73 protsenti.
CISO-de jaoks teravneb sellega üks tuntud risk kindlas keskkonnas: tehisintellekti ja masinõppe arenduskeskkonnad ühendavad samasse töökeskkonda arendus-, uurimis-, pilveinfrastruktuuri-, andmejuurdepääsu-, mudeli avaldamise ja automatiseerimise funktsioonid. Kompromiteeritud Pythoni pakett tavalises veebirakenduses varastab halvimal juhul ühe andmebaasi tunnusandmed. Sama rünne tehisintellekti arenduskeskkonnas võib ühe ainsa nakatunud sõltuvuse kaudu paljastada korraga mudelikaalud, treeningandmed, mitme pilveteenuse pakkuja tunnused, CI/CD-torustiku saladused ja tootmiskeskkonna API-võtmed. Lisandub ründevektor nimega slopsquatting: tehisintellektil põhinevad koodiassistendid soovitavad sageli pip install käske ja impordikäske kindlate pakettide jaoks. Kui arendaja usaldab seda soovitust ja ründaja on juba registreerinud pahatahtliku paketi vastava – osaliselt LLM-i poolt hallutsineeritud – nime alla, õnnestub rünne ilma igasuguse otsese suhtluseta arendajaga. Allika andmetel näitasid peaaegu 200 000 Pythoni päringu uuringud, et iga suurem LLM hallutsineerib pakettide nimesid, mida PyPI-s tegelikult ei eksisteeri, mistõttu tekib püsiv ründepind, mida üksikud mudeliuuendused täielikult sulgeda ei suuda.
Artikkel toob konkreetse kohese meetmena välja sõltuvuste fikseerimise (pinning): lõdvade versiooniviidete, näiteks requests>=2.0, asemel tuleks tehisintellekti arenduskeskkondades iga sõltuvus siduda täpse versiooninumbriga ning kontrollida selle kontrollsummat tuntud räsi vastu. See üksi oleks LiteLLM-i juhtumi puhul piiranud kahju keskkondadega, mis olid aktiivselt uuendatud kompromiteeritud versioonidele, selle asemel et mõjutada iga keskkonda, kus käivitati pip install litellm ilma versiooni sidumata. Teise meetmena nimetatakse arenduse torustikus install-järgsete käivitushaakide (post-install hooks) auditeerimist, kuna selliste haakide kaudu – nagu LiteLLM-i juhtumis .pth-mehhanismi abil – saab koodi käivitada automaatselt ilma otsese impordita.
Allikas: www.csoonline.com · Avaldatud 7. augustil 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.8.3 abil.