La trust chain dei developer diventa un canale per rubare segreti
La rottura non è in un singolo package: è nella trust chain del toolchain dei developer, dove una release malevola può partire da sola all’avvio di Python e raggiungere i segreti già presenti in ambienti AI, build e CI. Il controllo basato solo sugli import perde il punto in cui il codice inizia a girare, e quindi il momento in cui può iniziare a raccogliere credenziali cloud e SSH.
TeamPCP ha spinto su PyPI le versioni malevole 1.82.7 e 1.82.8 di LiteLLM usando un file .pth, che Python esegue automaticamente a ogni avvio dell’interprete. Le fonti indicano anche una campagna più ampia contro tool OSS fidati, con Trivy e KICS colpiti prima del passaggio alle librerie AI, e parlano di token AWS, GCP e Azure, chiavi SSH e credenziali cloud esposte.
Per chi usa package Python in ambienti AI o di build, il rischio non finisce con la sola rimozione del package: se la release è entrata nell’ambiente, il punto di fiducia era già stato usato per toccare segreti che possono aprire cloud, pipeline e accessi a valle.