Самое интересное, что ни одна из атак не была направлена непосредственно на ИИ-модели. Нет, хакеры решили играть по-крупному и ударили по самому слабому звену – инфраструктуре. Релизные пайплайны, зависимости, CI-раннеры – все это оказалось под прицелом злоумышленников. И, как выяснилось, "красные команды", которые должны выявлять уязвимости, просто не охватывали эти области.
Один из самых ярких примеров – червь Mini Shai-Hulud. Эта зараза умудрилась за шесть минут выкатить 84 вредоносных пакета в npm, используя уязвимости в конфигурации GitHub Actions. И самое печальное, что пакеты имели валидную SLSA Build Level 3, то есть были подписаны доверенным ключом. Никакого фишинга, никаких перехватов 2FA – просто гениальная эксплуатация уязвимостей в системе доверия.
OpenAI тоже не избежала проблем. У них скомпрометировали два устройства сотрудников, откуда были украдены учетные данные из внутренних репозиториев кода. Сейчас они отзывают сертификаты безопасности macOS и заставляют всех пользователей обновиться. Но, как они сами признают, это скорее реакция на взлом пайплайна сборки, а не на проблемы с безопасностью моделей.
Еще один случай – уязвимость в OpenAI Codex, которую обнаружил исследователь из BeyondTrust Phantom Labs. Оказывается, Codex передавал имена веток GitHub напрямую в shell-команды без какой-либо фильтрации. В результате, злоумышленник мог внедрить произвольный код, который выполнялся в контейнере Codex с правами доступа к OAuth-токену GitHub жертвы.И вишенка на торте – отравление цепочки поставок LiteLLM. Группа TeamPCP использовала украденные учетные данные сканера уязвимостей Aqua Security Trivy для публикации двух вредоносных версий пакета LiteLLM в PyPI. Эти версии провисели в репозитории около 40 минут и были скачаны почти 47 000 раз, прежде чем PyPI их заблокировал.
Какой вывод из всего этого? А вывод простой: безопасность ИИ – это не только про защиту моделей, но и про защиту всей инфраструктуры, которая их поддерживает. И если "красные команды" не будут охватывать релизные пайплайны, зависимости и CI-раннеры, то мы будем и дальше наблюдать подобные инциденты. Пора задуматься о комплексном подходе к безопасности, иначе хакеры будут пить наш кровь литрами.
Справка по теме (FAQ)
Что такое supply chain attack?
Это атака на цепочку поставок, когда злоумышленники внедряют вредоносный код в программное обеспечение или оборудование на этапе его разработки или распространения.
Что такое SLSA Build Level 3?
Это уровень безопасности сборки программного обеспечения, который гарантирует, что артефакты были созданы из доверенного исходного кода с использованием доверенной инфраструктуры.
Что такое CI/CD pipeline?
Это автоматизированный процесс сборки, тестирования и развертывания программного обеспечения.
Что такое npm и PyPI?
Это менеджеры пакетов для JavaScript (npm) и Python (PyPI), которые используются для распространения и установки библиотек и инструментов.
Где можно найти информацию о безопасности ИИ?
Рекомендую ознакомиться с отчетами компаний, занимающихся кибербезопасностью, таких как Positive Technologies, Group-IB и Kaspersky. Также полезно следить за новостями в специализированных изданиях, таких как SecurityLab и Anti-Malware.ru.