// CLUBIC — INTELLIGENZA ARTIFICIALE
LiteLLM : deux failles permettaient de voler des clés API d'IA et de prendre le contrôle de serveurs
Une passerelle utilisée pour connecter des applications aux modèles d'OpenAI, d'Anthropic ou de Google présentait deux vulnérabilités importantes. Dans une analyse publiée le 13 octobre, Check Point Research détaille comment des utilisateurs disposant d'accès limités pouvaient compromettre LiteLLM, jusqu'à prendre le contrôle d'un serveur ou détourner des clés API. Les correctifs sont disponibles depuis avril.
Pour connecter une application à plusieurs modèles d'intelligence artificielle, les entreprises peuvent utiliser une passerelle chargée de centraliser les requêtes, les autorisations et les clés d'accès. LiteLLM est l'un de ces outils open source, capable de communiquer avec de nombreux fournisseurs à travers une interface commune.Une position stratégique, mais aussi sensible : compromettre cette passerelle peut donner accès à des ressources normalement protégées. C'est ce qu'illustre une analyse de Check Point Research, consacrée à deux vulnérabilités de LiteLLM Proxy.
La première faille concernait les contrôles d'autorisation. Une fonction permettant de modifier la configuration de LiteLLM ne vérifiait pas correctement les droits administrateur.Un utilisateur déjà authentifié, même avec des privilèges limités, pouvait ainsi modifier des paramètres normalement réservés aux administrateurs. Les chercheurs ont démontré plusieurs conséquences possibles : consulter des fichiers sensibles, détourner un compte administrateur ou provoquer l'exécution de code malveillant sur le serveur.
Les vulnérabilités n'ont pas été découvertes cette semaine. La première a été corrigée dans LiteLLM 1.83.0, et la seconde dans la version 1.83.9, publiée le 17 avril. Check Point en a détaillé cette semaine les mécanismes et les conséquences potentielles.Cette publication intervient quelques mois après un autre incident touchant le projet. Le 24 mars, le groupe TeamPCP avait diffusé deux versions malveillantes de LiteLLM, les 1.82.7 et 1.82.8, sur le dépôt Python PyPI. Elles contenaient du code conçu pour dérober des identifiants et d'autres informations sensibles.
Selon LiteLLM, ces paquets sont restés accessibles pendant environ 40 minutes à partir de 10 h 39 UTC. Par précaution, l'éditeur recommande de vérifier les installations effectuées jusqu'à 16 h UTC ce jour-là. Les images Docker officielles du proxy n'étaient pas concernées par cette compromission.Il s'agit de deux incidents distincts, mais qui soulignent la sensibilité d'un logiciel centralisant les connexions entre applications et fournisseurs d'IA.
Les deux vulnérabilités étant corrigées depuis avril, les installations régulièrement mises à jour ne sont plus concernées. Les administrateurs utilisant encore d'anciennes versions de LiteLLM peuvent néanmoins consulter les avis de sécurité GitHub pour vérifier leur exposition.
L'attaque de mars appelle une vigilance différente : les organisations ayant exécuté les versions malveillantes 1.82.7 et 1.82.8 doivent s'assurer qu'aucun identifiant n'a été compromis, une simple mise à jour ne suffisant pas à effacer les conséquences d'une éventuelle intrusion.Ces incidents ne menacent pas directement les comptes personnels ChatGPT ou Claude. Ils illustrent en revanche un enjeu croissant : à mesure que les entreprises multiplient les connexions entre modèles et agents IA, les logiciels chargés de les orchestrer deviennent des maillons particulièrement sensibles de leur infrastructure.