Une brique logicielle piégée expose 2 500 entreprises
Un composant gratuit très utilisé pour brancher des IA a été corrompu. Nvidia, Cisco, Salesforce, Siemens et Orange figurent parmi les organisations touchées.
Des chercheurs en sécurité décrivent la plus grosse compromission de l’année dans la chaîne de fabrication des logiciels d’IA. Deux versions de LiteLLM, une brique gratuite qui sert d’aiguillage entre une application et plusieurs modèles d’IA, ont été piégées en mars. Plus de 2 500 entreprises et environ 434 000 chaînes de fabrication automatisées seraient concernées.
L’entrée s’est faite par la petite porte : un outil d’analyse de sécurité employé dans la fabrication de cette brique, resté corrompu une vingtaine de jours sans que personne ne s’en aperçoive. La police fédérale américaine a diffusé une alerte en juillet : les identifiants dérobés peuvent encore servir à de futures attaques.
Le mécanisme mérite d’être compris, car il ne vise personne en particulier. Une équipe installe une brique gratuite pour gagner du temps, cette brique en installe d’autres, et plus personne ne relit la chaîne. La question à poser à votre prestataire tient en une ligne : savez-vous exactement quels composants extérieurs tournent dans notre produit, et qui les met à jour ?