تقاطعت أكبر درامتين في وادي السيليكون: لايت إل إل إم وديلف
هذه واحدة من تلك الحلقات الواقعية في وادي السيليكون التي تبدو وكأنها مقتبسة من برنامج السخرية HBO. في هذا الأسبوع، تم اكتشاف بعض البرمجيات الضارة الفظيعة في مشروع مفتوح المصدر تم تطويره بواسطة خريج Y Combinator ، LiteLLM.
يمنح LiteLLM المطورين وصولاً سهلاً إلى المئات من نماذج الذكاء الاصطناعي ويوفر ميزات مثل إدارة النفقات. إنه نجاح ساحق، تم تنزيله في كثير من الأحيان بمعدل 3.4 مليون مرة يوميًا، وفقًا لـ Snyk، أحد العديد من الباحثين في مجال الأمن الذين يراقبون الحالة. كان لدى المشروع 40 ألف نجمة على GitHub وآلاف من النسخ (الذين استخدموه كقاعدة لتعديله وجعله خاصًا بهم).
تم اكتشاف البرمجيات الضارة وتوثيقها والإفصاح عنها بواسطة عالم الأبحاث كالم مكماهون من FutureSearch، وهي شركة تقدم وكلاء ذكاء اصطناعي لأبحاث الويب. تسللت البرمجيات الضارة من خلال “اعتماد”، مما يعني البرامج مفتوحة المصدر الأخرى التي اعتمد عليها LiteLLM. ثم سرقت بيانات اعتماد تسجيل الدخول لكل شيء لمسته. مع تلك البيانات، حصلت البرمجيات الضارة على وصول إلى المزيد من الحزم والمعلومات مفتوحة المصدر لجمع المزيد من البيانات، وهكذا.
اقرأ أيضاً
تسببت البرمجيات الضارة في إيقاف جهاز مكماهون بعد أن قام بتنزيل LiteLLM. أدت هذه الحادثة إلى دفعه للتحقيق واكتشافها. بشكل ساخر، تسبب خطأ في البرمجيات الضارة في حدوث مشكلة في جهازه. ولأن تلك الشيفرة السيئة كانت مصممة بشكل عشوائي، فقد استنتج هو (وكذلك الباحث المعروف في مجال الذكاء الاصطناعي أندريه كارباثي) أنه لا بد أن تكون مشفرة بشكل رديء.
كان مطورو LiteLLM يعملون بلا توقف هذا الأسبوع لتصحيح الوضع، والنبأ السار هو أنه تم اكتشافه بسرعة نسبيًا، على الأرجح في غضون ساعات.
هناك جزء آخر من هذه القصة لا يستطيع الناس على X التوقف عن الحديث عنه. لا يزال LiteLLM، اعتبارًا من 25 مارس عندما نظرنا، يظهر بفخر على موقعه أنه اجتاز اثنتين من الشهادات الرئيسية للامتثال الأمني، SOC2 و ISO 27001.
ولكنه استخدم شركة ناشئة تدعى Delve لتلك الشهادات.
<p>حدث تك كرانش</p>
<div class="inline-cta__content">
<p>
<span class="inline-cta__location">سان فرانسيسكو، كاليفورنيا</span>
<span class="inline-cta__separator">|</span>
<span class="inline-cta__date">13-15 أكتوبر 2026</span>
</p>
</div>
</div>Delve هي شركة ناشئة تعمل بالذكاء الاصطناعي في مجال الامتثال، وقد تم اتهامها بخداع عملائها حول مدى مطابقة التوافق الحقيقية من خلال توليد بيانات مزيفة، واستخدام مراقبي حسابات لا يحققون العناية اللازمة. وقد نفت Delve هذه الاتهامات.
هناك نقطة قوة هنا تستحق الفهم. تهدف مثل هذه الشهادات إلى إظهار أن لدى الشركة سياسات أمان قوية للحد من احتمال حدوث حوادث مثل هذه. لا تعني الشهادات تلقائيًا منع الشركة، مثل LiteLLM، من التعرض للبرمجيات الضارة. بينما يُفترض أن تغطي SOC 2 السياسات المتعلقة بالاعتمادات البرمجية، لا تزال البرمجيات الضارة قادرة على التسلل.
ومع ذلك، كما أشار المهندس جيرجلي أوروز في X عندما رأى الناس يسخرون من الوضع على الإنترنت، “أوه اللعنة، كنت أعتقد أن هذا كان مجرد مزحة. … لكن لا، كان LiteLLM *حقًا* ‘مؤمنًا من Delve.'”
أما بالنسبة لـ LiteLLM، فلم يكن لدى الرئيس التنفيذي كريش دوهاليا أي تعليق حول استخدام Delve. لا يزال مشغولًا في تنظيف الفوضى المؤسفة بسبب كونه ضحية لهجوم.
“أولويتنا الحالية هي التحقيق النشط بالتعاون مع Mandiant. نحن ملتزمون بمشاركة الدروس التقنية المستفادة مع مجتمع المطورين بمجرد اكتمال مراجعتنا الجنائية،” أخبر TechCrunch.