Machinelearning

🚨 Обнаружено, что релиз LiteLLM на PyPI версии 1.82.8 содержит вредоносный код. Стандартная команда `pip install litellm` могла привести к утечке: SSH-ключей, учётных данных AWS/GCP/Azure, Kubernetes-конфигов, git-доступов, всех API-ключей из переменных окружения, истории команд, SSL-ключей, CI/CD-секретов и паролей к базам данных. И это не нишевая библиотека, у LiteLLM около 97 млн скачиваний в месяц. Даже без прямой установки litellm вредоносный код мог попасть к пользователям через другие пакеты (например, `dspy`). Скомпрометированную версию пакета обнаружили случайно: при установке пакета у разработчика произошёл сбой из-за утечки памяти. Без этого сбоя атака могла оставаться незамеченной долгое время . Supply chain атаки становятся одним из самых серьёзных рисков в современной разработке. Подход «использовать как можно больше готовых библиотек» требует некоторого переосмысления. Andrej Karpathy: https://x.com/karpathy/status/2036488892443140551 1. Первичный разбор (issue на GitHub): https://github.com/BerriAI/litellm/issues/24512 - подробное техническое описание вредоносного кода: что именно крадёт и как работает 2. Официальный issue от BerriAI: https://github.com/BerriAI/litellm/issues/24518 — реакция команды и обновления по ситуации 3. Блог FutureSearch (обнаружили атаку): https://futuresearch.ai/blog/litellm-pypi-supply-chain-attack/ • как баг с fork bomb в вредоносном коде уронил машину и помог выявить атаку 4. Полный таймлайн TeamPCP от ramimac: https://ramimac.me/teampcp/ — вся цепочка атаки: Trivy → Checkmarx → litellm, с точными временными метками и IOC 5. Тред на Hacker News (основной): https://news.ycombinator.com/item?id=47501729 - обсуждение в реальном времени, включая ответы от Krrish (maintainer litellm) 6. Разбор от GitGuardian: https://blog.gitguardian.com/trivys-march-supply-chain-attack-shows-where-secret-exposure-hurts-most/ - анализ того, как утечка CI/CD-секретов запустила всю цепочку атаки @ai_machinelearning_big_data #llm#ml#cybersecurity

💀NeuroSploit v2 - продвинутый AI-фреймворк для тестирования на проникновение (пентеста). NeuroSploit v2 использует большие языковые модели, чтобы автоматизировать и усилить offensive security. Фреймворк помогает анализировать цели, находить уязвимости, планировать эксплуатацию и поддерживать защитные меры, сохраняя фокус на этике и операционной безопасности. Основные возможности: • Агентная архитектура Специализированные AI-агенты под разные роли: Red Team, Blue Team, Bug Bounty Hunter, Malware Analyst. • Гибкая интеграция LLM Поддержка Gemini, Claude, GPT (OpenAI) и Ollama с настройкой через профили. • Тонкая настройка моделей Отдельные LLM-профили для каждой роли: выбор модели, температура, лимиты токенов, кэш и контекст. • Markdown-промпты Динамические шаблоны промптов, адаптирующиеся под задачу и контекст. • Расширяемые инструменты Интеграция Nmap, Metasploit, Subfinder, Nuclei и других security-инструментов через конфигурацию. • Структурированные отчёты JSON-результаты кампаний и удобные HTML-отчёты. • Интерактивный CLI Командная строка для прямого управления агентами и сценариями. NeuroSploit v2 - пример того, как agentic AI превращает пентест из ручной работы в управляемую автоматизацию. git clone https://github.com/CyberSecurityUP/NeuroSploitv2.git cd NeuroSploitv2 ▪Github: https://github.com/CyberSecurityUP/NeuroSploit @ai_machinelearning_big_data #python#Penetrationtesting#llm#mlops#Cybersecurity