litellm

Новые потрясения в цепочке поставок: в LiteLLM 1.107.0 обнаружена уязвимость!

Внимание! Последняя версия LiteLLM 1.107.0 подвержена риску атаки на цепочку поставок, которая может привести к краже учётных данных и ключей. Пользователям затронутых версий необходимо немедленно обновиться и принять меры безопасности.#LiteLLM #АтакаНаЦепочкуПоставок

Разбор атаки на цепочку поставок с использованием вредоносной версии LiteLLM 1.107.0

Предупреждение по итогам технического анализа: последняя вредоносная версия проекта LiteLLM — 1.107.0 — может похищать учетные данные и ключи. Пользователям следует быть осторожными. Затронутая версия удалена. SlowMist рекомендует усилить меры безопасности.#LiteLLM #供应链攻击 #МерыБезопасности

🚨 $LITELLM SUPPLY‑CHAIN BREACH REVEALS DEEPER BACKDOOR THREAT 🦈

JFrog’s latest audit uncovered that version 1.107.0 of the open‑source gateway LiteLLM was poisoned at the PyPI level, embedding three stealth files that activate on any Python start‑up. 📊 The malicious payload siphons browser passwords, SSH keys, cloud credentials and even model API secrets, then reports to a spoofed domain.

Docker images were compromised via a counterfeit repo with a single‑hyphen typo, while the official GitHub source remained clean. 🔍 Remediation mandates a full environment rebuild, credential rotation, and a rollback to 1.106.2 – a simple uninstall won’t cleanse the backdoor. 💬 Have you audited your AI tooling for hidden supply‑chain risks? 👇

⚠️ Not financial advice. Always manage your risk. 🛡️

🏷️ #LITELLM #SupplyChain #Security #AI #Crypto

🔥 💎

Просмотрев сегодня утром новости за ночь, сразу скажу главное: настоящая опасность не на ценовом графике.

Почти всю ночь лента была забита сообщениями об инцидентах безопасности: неавторизованное RCE в GitLab с CVSS 10.0 (CVE-2026-110264), затрагивающее самостоятельно развёрнутые экземпляры вплоть до 2014 года; LiteLLM снова отравили — версия 1.107.0 крадёт облачные учётные данные и ключи ИИ прямо при запуске Python; три ветки версий Node, утечка переменных окружения Railway, вредоносный код в плагине кошелька Fearless, который скрывался почти 20 месяцев — если вы им пользовались, лучше сразу сменить кошелёк, смена пароля не поможет. Фраза @evilcos «бесовщина повсюду» очень точно описывает происходящее.

А вот на рынке совсем другая картина: рынки Азиатско-Тихоокеанского региона, Европы и США синхронно просели — Nikkei −2.65%, Hang Seng −3.03%, Nasdaq −2.24%; за день испарилось больше двух триллионов долларов, а $BTC по-прежнему держится стойко. За последние две недели QQQ так сильно упал, а BTC за ним не последовал. Я объясняю это тем, что продавцов действительно почти не осталось. Когда рынок переварит макроэкономические FUD-факторы вроде войны и повышения ставок, капитал пойдёт туда, где сопротивление минимально. По технологическим акциям я остаюсь при прежнем мнении: каждый рост — лишь отскок, причём каждый раз всё ниже; стоп-лоссы нужно исполнять неукоснительно.

По-настоящему смену направления я вижу в токенизации акций. Токены акций Robinhood теперь можно использовать в Morpho как залог для займа стейблкоинов, Paboxo превратила TSLA и SPCX в залоговые активы, а PendleLoop от Pendle позволяет одним нажатием взять плечо 2.6–4.2x на токенизированные американские акции. Гонка за выпуском токенов закончилась — теперь соревнуются в том, можно ли использовать их как деньги. И здесь важно всё тщательно просчитать: в часы самой низкой ночной ликвидности цену легче всего продавить ниже уровня ликвидации.

Мой подход прост: сначала закрыть уязвимости в технологическом стеке, держать часть капитала в наличных, а новые инструменты сначала пробовать небольшой позицией. Уязвимости безопасности и ликвидация позиций с плечом — по сути, одно и то же: ты доверился внешнему фактору, который не можешь контролировать.

$BTC #Openclaw #DeFi #LiteLLM