В марте этого года был зафиксирован киберинцидент, связанный с LiteLLM — популярным шлюзом доступа к более чем 100 большим языковым моделям (LLM), который широко используется разработчиками программного обеспечения. Злоумышленники внедрили вредоносный код в две версии пакета. Подмену быстро обнаружили. Однако позднее стало известно, что атака оказалась результативной. Аналитики нескольких компаний установили, что злоумышленники похитили 153 Гбайт информации из более чем 400 тыс. файлов. В той или иной степени атака затронула почти 2500 организаций по всему миру, в том числе крупные и широко известные бренды. Даже приблизительный размер нанесенного ущерба оценить невозможно.
Газизова подчеркивает, что злоумышленники в инциденте с LiteLLM использовали компоненты, которые на момент атаки не вызывали опасений. Они подменили две доверенные версии LiteLLM зараженными, а затем последовательно проникли в инфраструктуры предприятий, которые их использовали. В результате хакеры получили доступ к окружениям, в которых были установлены скомпрометированные версии LiteLLM. Поэтому оперативное устранение первоначальной причины уже не могло ликвидировать все последствия атаки.
«Использование систем искусственного интеллекта и продуктов, разработанных на их основе, стало массовым. Но организации защищают их так же, как традиционные информационные сервисы. Такой подход ставит под угрозу инфраструктуру и данные тысяч компаний: следующий крупный инцидент, связанный с компонентами ИИ, может затронуть любой бизнес. Чтобы этого не произошло, организациям нужно провести тщательный аудит своей инфраструктуры и выяснить, какие компоненты ИИ имеют в ней избыточные права. Доверенные сегодня модель или агент завтра могут оказаться скомпрометированы», — комментирует владелец продукта по безопасности ИИ UserGate Светлана Газизова.
Эксперт предупреждает: к системам искусственного интеллекта необходимо относиться с максимальной осторожностью — даже внимательнее, чем к самому ненадежному и уязвимому ПО.
Любой компании, которая так или иначе использует системы ИИ (а сегодня это делают практически все), необходимо предпринять ряд мер. Причем вне зависимости от того, оказалась ли сама организация или ее партнеры и контрагенты среди компаний, затронутых инцидентом с LiteLLM. Простое удаление зараженного пакета не закрывает инцидент. Необходимо тщательно проанализировать события, произошедшие в инфраструктуре 24 марта 2026 года, и выяснить, использовались ли в ней скомпрометированные версии LiteLLM. Кроме того, необходимо отозвать и перевыпустить все секреты, доступные этому окружению, включая ключи и токены доступа к информационным системам компании.
Еще одна необходимая мера — поиск последствий компрометации. На них могут указывать неизвестные системные сервисы, нетипичные обращения к системам и подозрительные сетевые соединения. Также нужно пересмотреть критичность компонентов ИИ, используемых в инфраструктуре. Необходимо составить их реестр, указать зависимости, пути доступа, следы работы ИИ-агентов, связанные серверы, а самое главное — набор секретов, доступных этим системам.
Наконец, организации необходимо сегментировать среды и ограничить доверие к компонентам ИИ: изолировать среды сборки ПО от промышленной инфраструктуры, контролировать зависимости и происхождение кода и, что имеет принципиальное значение, — не давать системам больше прав, чем им действительно необходимо.
