AIツール「LiteLLM」にバックドア混入、認証情報の窃取リスク

複数のAIモデルを統合的に扱えるオープンソースツール「LiteLLM」のバージョン1.107.0に、認証情報を窃取する不正プログラムが混入していたことが判明した。この脆弱性の危険性は、LiteLLMをインストールした環境でPythonを起動するだけで不正プログラムが実行される点にある。さらに攻撃者による遠隔操作で任意のプログラムを実行できる機能も備えており、影響範囲は当該ツールに留まらず同じ環境の他のPythonプログラムにも及ぶ。サプライチェーン攻撃の典型例として、依存パッケージの厳密な管理の重要性を示している。

本記事は外部記事の要約です。原典は次のリンクを参照してください。