Δύο κακόβουλα πακέτα Python που πλαστοπροσωπούν εργαλεία για την αλληλεπίδραση με τα δημοφιλή μοντέλα AI ChatGPT και Claude εντοπίστηκαν πρόσφατα στο Python Package Index (PyPI), το επίσημο αποθετήριο βιβλιοθηκών Python.
Αυτά τα πακέτα έμειναν αόρατα για περισσότερο από έναν χρόνο, υπονομεύοντας κρυφά τα περιβάλλοντα ανάπτυξης και κλέβοντας ευαίσθητες πληροφορίες. Σύμφωνα με τον ερευνητή κυβερνοασφάλειας Leonid, τα κακόβουλα πακέτα εκμεταλλεύονταν τη δημοτικότητα των εργαλείων AI στις διαδικασίες ανάπτυξης λογισμικού.
Δείτε περισσότερα: Παραβιασμένα S3 buckets χρησιμοποιούνται σε επιθέσεις σε npm packages
Οι προγραμματιστές, που ήθελαν να ενσωματώσουν το ChatGPT και το Claude στα έργα τους, εγκαθιστούσαν αυτά τα πακέτα θεωρώντας τα νόμιμες πηγές για την αξιοποίηση των γλωσσικών μοντέλων της OpenAI και της Anthropic. Τα ονόματα των πακέτων δεν έχουν ακόμη αποκαλυφθεί, αλλά λειτουργούσαν μιμούμενα νόμιμες βιβλιοθήκες με φαινομενικά κανονικές δυνατότητες, ενώ περιείχαν κρυφά κακόβουλα σενάρια. Αυτά τα σενάρια έκλεβαν ευαίσθητα δεδομένα, όπως κλειδιά API, διαπιστευτήρια και ενδεχομένως κώδικα ιδιοκτησίας, στέλνοντάς τα σε εξωτερικούς διακομιστές που ελέγχονταν από τους hackers.
Ο ερευνητής τόνισε ότι τα πακέτα απέφευγαν την ανίχνευση για πάνω από έναν χρόνο, αναδεικνύοντας τις σημαντικές προκλήσεις στην ασφάλεια των οικοσυστημάτων ανοιχτού κώδικα. Το PyPI, βασικό εργαλείο για την ανάπτυξη Python, έχει δει αυξημένη προσοχή τα τελευταία χρόνια λόγω της αύξησης των κακόβουλων παραγόντων που εκμεταλλεύονται την ανοιχτότητά του.
Αυτή η παραβίαση έχει προκαλέσει ανησυχία στην κοινότητα ανάπτυξης, υπογραμμίζοντας τους κινδύνους από την εξάρτηση από μη επαληθευμένες third-party βιβλιοθήκες. Οι προγραμματιστές καλούνται να ελέγξουν άμεσα τις εξαρτήσεις τους και να αναθεωρήσουν οποιαδήποτε πρόσφατη εγκατάσταση πακέτων σχετικών με AI.
Διαβάστε επίσης: Κακόβουλα πακέτα PyPi δημιουργήθηκαν από τη Lazarus
Οι συντηρητές του PyPI αναμένεται να αφαιρέσουν τα κακόβουλα πακέτα και να ενισχύσουν τα πρωτόκολλα ασφαλείας για να αποτρέψουν παρόμοια περιστατικά στο μέλλον. Ειδικοί προτείνουν την υιοθέτηση βέλτιστων πρακτικών, όπως η επαλήθευση της αυθεντικότητας των πακέτων, η χρήση εικονικών περιβαλλόντων και η αξιοποίηση αυτοματοποιημένων σαρωτών εξαρτήσεων για την ανίχνευση ευπαθειών.
Πηγή: gbhackers
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
