Ein Supply-Chain-Angriff auf ein einzelnes Open-Source-Paket hat zu einem der chaotischsten Sicherheitsvorfälle in der jungen KI-Branche geführt, bei dem Daten des Datenkennzeichnungs-Startups Mercor offengelegt wurden und Meta gezwungen wurde, die Zusammenarbeit mit dem Unternehmen auf unbestimmte Zeit zu unterbrechen.

Der Verstoß, den Mercor am 31. März bestätigte, wurde auf eine Kompromittierung von LiteLLM zurückgeführt, einem weit verbreiteten Open-Source-Tool, das täglich millionenfach heruntergeladen wird. Etwa 40 Minuten lang beherbergte eine vergiftete Version von LiteLLM Schadsoftware zum Sammeln von Anmeldeinformationen, die Anmeldeinformationen stahl und diese dann nutzte, um tiefer in verbundene Systeme einzudringen. Der Vorfall hat sich seitdem zu Klagen, einem Vertragsstopp und einer breiteren Auseinandersetzung darüber ausgeweitet, wie viel Vertrauen die KI-Industrie in zwischengeschaltete Software setzt, die sie nicht kontrolliert. Weitere aktuelle KI-Nachrichten zum Thema Sicherheit und Vertrauen finden Sie in unserer laufenden Berichterstattung.

Wie der Angriff funktionierte

Die Mechanik ist ein lehrbuchmäßiger Kompromiss in der Software-Lieferkette. Berichten von TechJuice und TechCrunch zufolge ist es Angreifern gelungen, Schadcode in LiteLLM einzuschleusen, die Open-Source-Bibliothek, die viele KI-Unternehmen verwenden, um Anfragen zwischen verschiedenen Sprachmodellen weiterzuleiten. Da LiteLLM als vertrauenswürdige Infrastruktur behandelt und automatisch in Produktionsumgebungen eingebunden wird, verbreitete sich der bösartige Build schnell.

Etwa 40 Minuten lang sammelte das manipulierte Tool in aller Stille Anmeldeinformationen von jedem, der es ausführte. Diese Zugangsdaten wurden dann für den Zugriff auf weitere Systeme verwendet, was den Schaden über den anfänglichen Zugriff hinaus noch verschlimmerte. Mercor, dessen Geschäft von der Verwaltung großer Mengen sensibler Auftragnehmer- und Kundendaten abhängt, gehörte zu den am stärksten gefährdeten Unternehmen.

Ein 4-Terabyte-Erpressungsanspruch

Nach der Offenlegung behauptete eine Hackergruppe, etwa 4 Terabyte an Daten zu besitzen, die von den Systemen von Mercor gestohlen worden seien. Die beanspruchte Beute umfasst Kandidatenprofile, persönlich identifizierbare Informationen, Arbeitgeberdaten, Quellcode und API-Schlüssel, eine umfassende Bestandsaufnahme genau der Art von Material, die ein Datenkennzeichnungsunternehmen zentralisiert. Mercor hat die Echtheit der behaupteten Daten weder bestätigt noch dementiert, sondern lediglich erklärt, dass es eine Untersuchung durchführt.

Die Mehrdeutigkeit ist selbst ein Problem. Für die Auftragnehmer, Arbeitgeber und Partner, deren Informationen möglicherweise im Umlauf sind, ist es aufgrund der Ungewissheit darüber, was tatsächlich genommen wurde, unmöglich, ihre Gefährdung einzuschätzen.

Meta zieht sich zurück

Die kommerziellen Auswirkungen waren schnell. Meta hat seine Verträge mit Mercor auf unbestimmte Zeit ausgesetzt, eine Entscheidung, die angesichts der Geschichte zwischen den beiden Unternehmen noch bemerkenswerter ist. Laut TechJuice arbeitete Meta weiterhin mit Mercor zusammen, auch nachdem das Unternehmen 14,3 Milliarden US-Dollar für die Übernahme von Mercors Rivalen Scale AI ausgegeben hatte, ein Zeichen dafür, wie sehr es die Beziehung schätzte. Dass ein Verstoß, der über ein Tool eines Drittanbieters erfolgt, ein solches Unentschieden zerstören könnte, unterstreicht, wie brüchig diese Lieferantenbeziehungen geworden sind.

OpenAI hat bestätigt, dass es seine eigene Gefährdung durch den Verstoß untersucht, hatte aber zum Zeitpunkt der Berichterstattung seine Mercor-Verträge nicht pausiert. Berichten zufolge prüfen mehrere andere große Modellbauer ihre Beziehungen zu dem Startup, obwohl keine weiteren Namen öffentlich bestätigt wurden.

Klagen und Haftungsfragen

Die rechtlichen Konsequenzen häufen sich ebenso schnell wie die wirtschaftlichen. Fünf Auftragnehmer von Mercor haben Klagen wegen angeblicher Offenlegung personenbezogener Daten eingereicht. In einer von TechCrunch geprüften Klage wurden LiteLLM und das KI-Compliance-Startup Delve als Mitangeklagte genannt, mit der Begründung, LiteLLM habe Delve zur Erlangung seiner Sicherheitszertifizierungen genutzt. Diese Verknüpfung wirft die heikle Frage auf, ob Compliance-Anbieter Verantwortung tragen, wenn die Tools, für die sie bürgen, später zu Waffen werden.

Diese Klagen könnten dabei helfen, zu definieren, wo die Haftung liegt, wenn ein Verstoß über Open-Source-Software weitergeleitet wird – eine Frage, die die KI-Branche bisher nicht beantwortet hat.

Die unterbewertete Angriffsfläche der Branche

Sicherheitsforscher sagen, die tiefere Lektion sei struktureller Natur. Der KI-Stack ist nun auf ein Netz vertrauenswürdiger Vermittlungstools, Router, Evaluatoren, Compliance-Ebenen und Kennzeichnungsplattformen angewiesen, die zwischen Modellanbietern und ihren Kunden liegen. Jedes davon stellt einen potenziellen Engpass dar, und die meisten werden weitaus weniger genau unter die Lupe genommen als die Grenzmodelle selbst.

LiteLLM dient der Veranschaulichung. Es wird täglich millionenfach heruntergeladen, verwaltet Anmeldeinformationen und läuft in den Produktionsumgebungen einiger der finanzkräftigsten Unternehmen der Welt. Doch eine 40-minütige Manipulation reichte aus, um daraus einen Dietschlüssel zu machen. Die Sequenz hat die gesamte KI-Lieferkette auf den Prüfstand gestellt, wobei Forscher warnen, dass vertrauenswürdige Zwischentools eine Angriffsfläche darstellen, die die Branche systematisch unterbewertet hat.

Was als nächstes passiert

Die unmittelbaren Fragen sind, ob Mercor das Ausmaß des Lecks überprüfen kann, ob weitere Modellbauer Meta folgen und sich zurückziehen werden und ob die Klagen gegen LiteLLM und Delve einen Präzedenzfall für die Haftung Dritter schaffen. Längerfristig wird der Vorfall wahrscheinlich die Forderungen an die KI-Branche verstärken, die Art von Software-Stücklisten und Abhängigkeitssignierungspraktiken zu übernehmen, auf die ausgereiftere Softwaresektoren bereits angewiesen sind.

Vorerst ist der Verstoß eine Warnung, dass die gefährlichsten Schwachstellen in der KI möglicherweise gar nicht in den Modellen liegen, sondern in den unscheinbaren Leitungen, die sie verbinden.

Bleiben Sie der KI immer einen Schritt voraus

Die Sicherheit des KI-Stacks wird ebenso wichtig wie die Modelle selbst. Setzen Sie ein Lesezeichen auf AI Buzz Wire für die neuesten KI-Entwicklungen und KI-Branchenberichterstattung.

Weitere KI-Neuigkeiten lesen →