Ну что, котаны, пристегните ремни! Кажется, у нас тут назревает нехилый скандал в мире ИИ. По данным VentureBeat, за последние 50 дней сразу три крупных игрока – OpenAI, Anthropic и Meta – стали жертвами атак на цепочки поставок. И это не просто какие-то там мелкие неприятности, а вполне себе серьезные инциденты, которые ставят под вопрос безопасность всей индустрии.
Самое интересное, что ни одна из атак не была направлена непосредственно на ИИ-модели. Нет, хакеры решили играть по-крупному и ударили по самому слабому звену – инфраструктуре. Релизные пайплайны, зависимости, CI-раннеры – все это оказалось под прицелом злоумышленников. И, как выяснилось, "красные команды", которые должны выявлять уязвимости, просто не охватывали эти области.
Один из самых ярких примеров – червь Mini Shai-Hulud. Эта зараза умудрилась за шесть минут выкатить 84 вредоносных пакета в npm, используя уязвимости в конфигурации GitHub Actions. И самое печальное, что пакеты имели валидную SLSA Build Level 3, то есть были подписаны доверенным ключом. Никакого фишинга, никаких перехватов 2FA – просто гениальная эксплуатация уязвимостей в системе доверия.
OpenAI тоже не избежала проблем. У них скомпрометировали два устройства сотрудников, откуда были украдены учетные данные из внутренних репозиториев кода. Сейчас они отзывают сертификаты безопасности macOS и заставляют всех пользователей обновиться. Но, как они сами признают, это скорее реакция на взлом пайплайна сборки, а не на проблемы с безопасностью моделей.
Еще один случай – уязвимость в OpenAI Codex, которую обнаружил исследователь из BeyondTrust Phantom Labs. Оказывается, Codex передавал имена веток GitHub напрямую в shell-команды без какой-либо фильтрации. В результате, злоумышленник мог внедрить произвольный код, который выполнялся в контейнере Codex с правами доступа к OAuth-токену GitHub жертвы.
И вишенка на торте – отравление цепочки поставок LiteLLM. Группа TeamPCP использовала украденные учетные данные сканера уязвимостей Aqua Security Trivy для публикации двух вредоносных версий пакета LiteLLM в PyPI. Эти версии провисели в репозитории около 40 минут и были скачаны почти 47 000 раз, прежде чем PyPI их заблокировал.
Какой вывод из всего этого? А вывод простой: безопасность ИИ – это не только про защиту моделей, но и про защиту всей инфраструктуры, которая их поддерживает. И если "красные команды" не будут охватывать релизные пайплайны, зависимости и CI-раннеры, то мы будем и дальше наблюдать подобные инциденты. Пора задуматься о комплексном подходе к безопасности, иначе хакеры будут пить наш кровь литрами.