Un attacco alla catena di fornitura su un singolo pacchetto open source si è trasformato in uno degli incidenti di sicurezza più complicati nel giovane settore dell’intelligenza artificiale, esponendo i dati detenuti dalla startup di etichettatura dei dati Mercor e costringendo Meta a sospendere indefinitamente il suo lavoro con l’azienda.

La violazione, confermata da Mercor il 31 marzo, è stata fatta risalire a una compromissione di LiteLLM, uno strumento open source ampiamente utilizzato e scaricato milioni di volte al giorno. Per circa 40 minuti, una versione avvelenata di LiteLLM ha ospitato malware per la raccolta di credenziali che rubavano le credenziali di accesso e poi le utilizzavano per penetrare più in profondità nei sistemi connessi. Da allora l’episodio si è trasformato in cause legali, congelamento dei contratti e una resa dei conti più ampia su quanta fiducia l’industria dell’intelligenza artificiale ripone nei software intermediari che non controlla. Per ulteriori ultime notizie sull'intelligenza artificiale su sicurezza e affidabilità, segui la nostra copertura continua.

Come ha funzionato l'attacco

I meccanismi sono un compromesso da manuale sulla catena di fornitura del software. Secondo quanto riportato da TechJuice e TechCrunch, gli aggressori sono riusciti a inserire codice dannoso in LiteLLM, la libreria open source che molte aziende di intelligenza artificiale utilizzano per instradare le richieste tra diversi modelli linguistici. Poiché LiteLLM viene trattata come un'infrastruttura affidabile e inserita automaticamente negli ambienti di produzione, la build dannosa si diffonde rapidamente.

Per circa 40 minuti, lo strumento manomesso ha raccolto silenziosamente le credenziali di chiunque lo eseguisse. Tali credenziali sono state poi utilizzate per accedere a sistemi aggiuntivi, aggravando il danno oltre il punto d’appoggio iniziale. Mercor, la cui attività dipende dalla gestione di grandi volumi di dati sensibili di appaltatori e clienti, è stata tra le più esposte.

Una richiesta di estorsione da 4 terabyte

Dopo la divulgazione, un gruppo di hacker ha affermato di possedere circa 4 terabyte di dati rubati dai sistemi Mercor. Il bottino dichiarato include profili dei candidati, informazioni di identificazione personale, dati del datore di lavoro, codice sorgente e chiavi API, un vasto inventario esattamente del tipo di materiale che un'azienda di etichettatura dei dati centralizza. Mercor non ha né confermato né smentito l'autenticità dei dati dichiarati, dicendo soltanto che sta indagando.

L’ambiguità è di per sé un problema. Per gli appaltatori, i datori di lavoro e i partner le cui informazioni potrebbero circolare, l’incertezza su ciò che è stato effettivamente prelevato rende impossibile valutare la loro esposizione.

Meta si tira indietro

La ricaduta commerciale è stata rapida. Meta ha sospeso i suoi contratti con Mercor a tempo indeterminato, una decisione resa ancora più sorprendente dalla storia tra le due società. Secondo TechJuice, Meta aveva continuato a lavorare con Mercor anche dopo aver speso 14,3 miliardi di dollari per acquisire Scale AI, rivale di Mercor, segno di quanto apprezzasse il rapporto. Il fatto che una violazione instradata attraverso uno strumento di terze parti possa recidere un simile legame sottolinea quanto siano diventate fragili queste relazioni con i fornitori.

OpenAI ha confermato che sta indagando sulla propria esposizione alla violazione ma, al momento della segnalazione, non aveva sospeso i suoi contratti Mercor. Secondo quanto riferito, molti altri grandi produttori di modelli stanno valutando i loro rapporti con la startup, anche se nessun altro nome è stato confermato pubblicamente.

Cause legali e domande sulla responsabilità

Le conseguenze legali si stanno accumulando con la stessa rapidità di quelle commerciali. Cinque degli appaltatori di Mercor hanno intentato causa per presunta esposizione di dati personali. Una causa esaminata da TechCrunch ha nominato LiteLLM e la startup di conformità AI Delve come co-imputati, sulla base del fatto che LiteLLM aveva utilizzato Delve per ottenere le sue certificazioni di sicurezza. Questo collegamento apre una questione spinosa sul fatto se i fornitori di conformità si assumano la responsabilità quando gli strumenti che garantiscono vengono successivamente utilizzati come armi.

Queste cause potrebbero aiutare a definire dove si colloca la responsabilità quando una violazione viene instradata attraverso un software open source, una domanda a cui il settore dell’intelligenza artificiale ha finora evitato di rispondere.

La superficie di attacco del settore è sottoesaminata

I ricercatori nel campo della sicurezza sostengono che la lezione più profonda è strutturale. Lo stack dell’intelligenza artificiale ora dipende da una rete di strumenti intermediari affidabili, router, valutatori, livelli di conformità e piattaforme di etichettatura che si collocano tra i fornitori di modelli e i loro clienti. Ognuno di essi rappresenta un potenziale punto di strozzatura e la maggior parte riceve un controllo molto meno accurato rispetto ai modelli di frontiera stessi.

LiteLLM è illustrativo. Viene scaricato milioni di volte al giorno, gestisce le credenziali in base alla progettazione e viene eseguito all'interno degli ambienti di produzione di alcune delle aziende con i migliori finanziamenti al mondo. Eppure è bastato un periodo di manomissione di 40 minuti per trasformarlo in uno scheletro. La sequenza ha messo sotto esame l’intera catena di fornitura dell’intelligenza artificiale, con i ricercatori che avvertono che gli strumenti intermediari fidati rappresentano una superficie di attacco che il settore ha sistematicamente sottoesaminato.

Cosa succede dopo

Le domande immediate sono se Mercor possa verificare la portata della fuga di notizie, se altri produttori di modelli seguiranno Meta nel ritirarsi e se le cause LiteLLM e Delve stabiliscono un precedente per la responsabilità di terzi. A lungo termine, l’incidente probabilmente accelererà le richieste rivolte al settore dell’intelligenza artificiale di adottare il tipo di distinte base del software e pratiche di firma delle dipendenze su cui già fanno affidamento i settori software più maturi.

Per ora, la violazione rappresenta un avvertimento sul fatto che le vulnerabilità più pericolose dell’intelligenza artificiale potrebbero non risiedere affatto all’interno dei modelli, ma nel poco affascinante sistema idraulico che li collega.

Stai al passo con l'intelligenza artificiale

La sicurezza dello stack AI sta diventando tanto importante quanto i modelli stessi. Aggiungi AI Buzz Wire ai preferiti per gli ultimi sviluppi dell'intelligenza artificiale e la copertura del settore dell'intelligenza artificiale.

Leggi altre notizie sull'AI →