ผลสแกนของ Wiz Research เมื่อเดือนกุมภาพันธ์ที่ผ่านมาพบว่า เซิร์ฟเวอร์ LiteLLM ที่เปิดให้เข้าถึงจากอินเทอร์เน็ตมีเกือบ 1 ใน 10 ที่ยังยอมรับคีย์ sk-1234 ซึ่งเป็นคีย์ผู้ดูแลระบบตัวอย่างที่ปรากฏในคู่มือติดตั้งของ LiteLLM เอง
LiteLLM เป็น AI gateway โอเพนซอร์สที่องค์กรติดตั้งไว้ระหว่างแอปพลิเคชันกับผู้ให้บริการโมเดลที่จ่ายค่าใช้จ่าย โดยคีย์นี้ทำหน้าที่เป็นข้อมูลประจำตัวของผู้ดูแลเกตเวย์ ใครก็ตามที่ถือครองจะอ่านข้อมูลที่ส่งผ่านระบบได้ทั้งหมด
การใช้คีย์ตัวอย่างบนเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ตจึงเป็นช่องโหว่ความปลอดภัยร้ายแรง ทำให้ผู้โจมตีเข้าถึงข้อมูลอ่อนไหวและใช้งานโมเดลได้โดยไม่มีข้อจำกัด องค์กรที่ใช้งานจึงควรรีบเปลี่ยนคีย์เริ่มต้นและจำกัดการเข้าถึงเกตเวย์โดยเร็ว
ที่มา: The Hacker News