افشای کلید اصلی LiteLLM به سرقت توکن‌های GitHub و نفوذ به زنجیره انتشار منجر شد
پروژه LiteLLM اعلام کرد کلید اصلی یک پلتفرم Agent به‌طور ناخواسته در یک مخزن عمومی GitHub منتشر شده و همین موضوع به مهاجمان اجازه داده نسخه مخربی از این پکیج محبوب پایتون را منتشر کنند. این افشاگری در ژوئن ۲۰۲۶ اعلام شد.
بر اساس اعلام LiteLLM، در تاریخ ۲۷ می ۲۰۲۶ یک فایل پیکربندی در مخزن عمومی LiteLLM-Labs/lite-harness در GitHub کامیت شده بود که به‌اشتباه حاوی کلید اصلی (master key) مربوط به یک استقرار از Agent Platform این شرکت بوده است. مهاجمان با دسترسی به این کلید توانستند توکن‌های احراز هویت GitHub را به سرقت ببرند و از آن‌ها برای نفوذ به فرآیند انتشار نسخه‌های این پکیج پایتونی پرکاربرد استفاده کنند. نتیجه این نفوذ، انتشار نسخه‌ای مخرب از پکیج LiteLLM بوده که می‌توانسته کاربران و سیستم‌هایی را که از این کتابخانه استفاده می‌کنند در معرض خطر قرار دهد. این حادثه بار دیگر نشان می‌دهد که افشای ناخواسته کلیدهای حساس در مخازن عمومی کد می‌تواند به‌طور مستقیم زنجیره تأمین نرم‌افزار را آلوده کند و اعتماد کاربران به بسته‌های منبع‌باز را تهدید کند.
این خلاصه به‌صورت خودکار و به زبان فارسی بازنویسی شده است. متن و منبع کامل خبر متعلق به منبع اصلی است؛ Ismail_Cyberworld صرفاً خلاصه و ارجاع می‌دهد.
خواندن کامل در The Hacker Newsپشت هر نشت داده، یک رمز ضعیف یا یک سرویس باز است. می‌توانی پیدایش کنی؟
نشت‌های بزرگ به‌ندرت با تکنیک‌های جادویی اتفاق می‌افتند؛ یک رمز عبور ضعیف، یک سرویس فراموش‌شده، یک فایل پیکربندی. کسی که یک بار خودش این‌ها را در آزمایشگاه پیدا کرده باشد، خبر را طور دیگری می‌خواند. دوره از همین‌جا شروع می‌کند، از شناسایی تا نفوذ، روی هدف واقعی.
این موضوع در دوره:ماژول ۸ · شکستن رمزها و حمله به پسورد با Hydra- ۱۵ ماژول عملی، حدود ۳۳ ساعت آموزش فارسی
- ۷۴ ابزار و مهارت، از Nmap و Metasploit تا Burp Suite
- ۳ آزمایشگاه تمرین آنلاین و پروژه‌ی جامع پایانی
- گواهینامه‌ی پایان دوره با صفحه‌ی استعلام آنلاین
- پشتیبانی تیکتی، پاسخ در کمتر از ۲۴ ساعت
- ۶ ماه دسترسی کامل از اولین ورود
خبرهای دیگر
گوگل: داده‌های جیمیل و عکس‌ها در جست‌وجوی هوش مصنوعی ممکن است برای تبلیغات هدفمند استفاده شود
گوگل سیاست حریم خصوصی خود را به‌روزرسانی کرده و تصریح کرده که استفاده از ویژگی‌های شخصی‌سازی‌شده هوش مصنوعی در Search یا Gemini می‌تواند منجر به استفاده از داده‌های کاربر در سایر سرویس‌های گوگل برای نمایش تبلیغات هدفمند شود. این تغییر به کاربرانی مربوط می‌شود که اجازه دسترسی سرویس‌هایی مانند جیمیل و عکس‌ها را به هوش مصنوعی گوگل داده‌اند.
بوت‌کیت BlackX با دور زدن Secure Boot، سازمان‌های دیپلماتیک آسیای مرکزی را هدف گرفت
یک بدافزار پیشرفته UEFI موسوم به BlackX شناسایی شده که می‌تواند Secure Boot را حتی در سیستم‌های ویندوزی وصله‌خورده دور بزند. بر اساس گزارش کسپرسکی، این بوت‌کیت در اوایل سال ۲۰۲۶ نهادهای دیپلماتیک در تاجیکستان، ازبکستان و ترکمنستان را هدف قرار داده است.
هشدار درباره عامل‌های هوش مصنوعی به‌عنوان تهدید داخلی ناشناخته
بسیاری از سازمان‌ها بدون آگاهی کامل، عامل‌های هوش مصنوعی را روی سیستم‌های خود اجرا می‌کنند که به کلیدهای API، رمزهای عبور پایگاه‌داده و منابع داخلی دسترسی دارند. این عامل‌ها بدون نظارت یا مالکیت مشخص کار می‌کنند و همین موضوع آن‌ها را به یک ریسک امنیتی پنهان تبدیل کرده است.