Une attaque de la chaîne d'approvisionnement sur un seul package open source s'est transformée en l'un des incidents de sécurité les plus compliqués de la jeune industrie de l'IA, exposant les données détenues par la startup d'étiquetage de données Mercor et forçant Meta à suspendre indéfiniment son travail avec l'entreprise.

La faille, confirmée par Mercor le 31 mars, est attribuée à une compromission de LiteLLM, un outil open source largement utilisé et téléchargé des millions de fois par jour. Pendant environ 40 minutes, une version empoisonnée de LiteLLM a hébergé un logiciel malveillant de collecte d'informations d'identification qui a volé les informations de connexion et les a ensuite utilisées pour pénétrer plus profondément dans les systèmes connectés. L’épisode s’est depuis métastasé en poursuites judiciaires, en gel des contrats et en une prise de conscience plus large de la confiance que l’industrie de l’IA accorde aux logiciels intermédiaires qu’elle ne contrôle pas. Pour en savoir plus sur les dernières actualités en matière d'IA (https://aibuzzwire.news) sur la sécurité et la confiance, suivez notre couverture continue.

Comment l'attaque a fonctionné

La mécanique est un compromis classique dans la chaîne d’approvisionnement des logiciels. Selon les rapports de TechJuice et TechCrunch, les attaquants ont réussi à insérer du code malveillant dans LiteLLM, la bibliothèque open source que de nombreuses sociétés d'IA utilisent pour acheminer les requêtes entre différents modèles de langage. Étant donné que LiteLLM est traité comme une infrastructure fiable et intégré automatiquement dans les environnements de production, la version malveillante se propage rapidement.

Pendant environ 40 minutes, l’outil falsifié a discrètement collecté les informations d’identification de tous ceux qui l’exécutaient. Ces informations d’identification ont ensuite été utilisées pour accéder à des systèmes supplémentaires, aggravant ainsi les dégâts au-delà de l’implantation initiale. Mercor, dont l'activité dépend de la gestion de grands volumes de données sensibles sur les entrepreneurs et les clients, était parmi les plus exposés.

Une réclamation pour extorsion de 4 téraoctets

Après la divulgation, un groupe de pirates informatiques a affirmé détenir environ 4 téraoctets de données volées sur les systèmes de Mercor. Le butin revendiqué comprend des profils de candidats, des informations personnelles identifiables, des données d'employeur, du code source et des clés API, un inventaire approfondi du type exact de matériel qu'une entreprise d'étiquetage de données centralise. Mercor n'a ni confirmé ni nié l'authenticité des données revendiquées, affirmant seulement qu'elle enquêtait.

L'ambiguïté est en soi un problème. Pour les entrepreneurs, employeurs et partenaires dont les informations peuvent circuler, l’incertitude quant à ce qui a été réellement pris rend impossible l’évaluation de leur exposition.

Meta recule

Les retombées commerciales ont été rapides. Meta a suspendu indéfiniment ses contrats avec Mercor, une décision rendue plus frappante par l'histoire entre les deux sociétés. Selon TechJuice, Meta avait continué à travailler avec Mercor même après avoir dépensé 14,3 milliards de dollars pour acquérir le rival de Mercor, Scale AI, signe de l'importance accordée à cette relation. Le fait qu’une violation via un outil tiers puisse rompre un tel lien souligne à quel point ces relations avec les fournisseurs sont devenues fragiles.

OpenAI a confirmé qu'elle enquêtait sur sa propre exposition à la violation mais, au moment de la rédaction du rapport, elle n'avait pas suspendu ses contrats Mercor. Plusieurs autres grands modélistes seraient en train d’évaluer leurs relations avec la startup, bien qu’aucun autre nom n’ait été confirmé publiquement.

Poursuites et questions de responsabilité

Les conséquences juridiques s’accumulent aussi rapidement que les conséquences commerciales. Cinq des sous-traitants de Mercor ont intenté des poursuites pour exposition présumée de données personnelles. Un procès examiné par TechCrunch a désigné LiteLLM et la startup de conformité IA Delve comme co-accusés, au motif que LiteLLM avait utilisé Delve pour obtenir ses certifications de sécurité. Ce lien soulève une question épineuse : celle de savoir si les fournisseurs de conformité assument la responsabilité lorsque les outils dont ils se portent garants sont ensuite transformés en armes.

Ces poursuites pourraient aider à définir où se situe la responsabilité lorsqu’une violation est acheminée via un logiciel open source, une question à laquelle l’industrie de l’IA a jusqu’à présent évité de répondre.

La surface d'attaque sous-examinée de l'industrie

Les chercheurs en sécurité affirment que la leçon la plus profonde est d’ordre structurel. La pile d’IA dépend désormais d’un réseau d’outils intermédiaires de confiance, de routeurs, d’évaluateurs, de couches de conformité et de plates-formes d’étiquetage qui se situent entre les fournisseurs de modèles et leurs clients. Chacun d’entre eux constitue un point d’étranglement potentiel, et la plupart font l’objet de beaucoup moins d’examen que les modèles frontières eux-mêmes.

LiteLLM est illustratif. Il est téléchargé des millions de fois par jour, gère les informations d'identification dès leur conception et s'exécute dans les environnements de production de certaines des entreprises les mieux financées au monde. Pourtant, une fenêtre de falsification de 40 minutes a suffi pour en faire un passe-partout. Cette séquence a mis l’ensemble de la chaîne d’approvisionnement de l’IA sous surveillance, les chercheurs avertissant que les outils intermédiaires de confiance représentent une surface d’attaque que l’industrie a systématiquement sous-examinée.

Que se passe-t-il ensuite

Les questions immédiates sont de savoir si Mercor peut vérifier l'ampleur de la fuite, si davantage de modélistes suivront Meta en se retirant et si les poursuites LiteLLM et Delve établissent un précédent en matière de responsabilité civile. À plus long terme, l’incident est susceptible d’accélérer les appels en faveur de l’industrie de l’IA pour qu’elle adopte le type de nomenclatures logicielles et de pratiques de signature de dépendances sur lesquelles s’appuient déjà les secteurs logiciels plus matures.

Pour l’instant, cette faille constitue un avertissement selon lequel les vulnérabilités les plus dangereuses de l’IA ne résident peut-être pas du tout à l’intérieur des modèles, mais dans la plomberie peu glamour qui les relie.

Gardez une longueur d'avance sur l'IA

La sécurité de la pile IA devient aussi importante que les modèles eux-mêmes. Ajoutez AI Buzz Wire à vos favoris pour connaître les derniers développements de l'IA et la couverture de l'industrie de l'IA.

Lire plus d'actualités sur l'IA →