家litellmライブラリがソフトウェアサプライチェーン攻撃の標的となり、AIコミュニティが警戒を強めている
著名なAI科学者アンドレイ・カルパシー氏による最近の警告が、AI開発者コミュニティに衝撃を与えている。同氏は、AIソフトウェアのサプライチェーンに対する標的型ポイズニング攻撃を明らかにした。標的となったのは、GitHubで4万以上のスターを獲得し、月間ダウンロード数が1億件近くに上る人気Pythonライブラリ「litellm」だ。主要なAIモデルAPIを呼び出すための汎用アダプターとして機能するこのライブラリが侵害されたことで、ドミノ効果が引き起こされ、AI開発ツールチェーン全体に影響を及ぼす恐れがある。
インストール時に感染：「見えない」悪意あるコードの動作
この攻撃のステルス性は、その巧妙なトリガーに起因しています。悪意のある攻撃者は、litellmの特定の2つのPyPIリリース（バージョン1.82.7および1.82.8）に不正な .pth ファイルを、litellm の特定の2つのPyPIリリース（バージョン1.82.7および1.82.8）に埋め込みました。
自動実行：これらの改ざんされたバージョンのいずれかを pip install 単にこれらの改ざんされたバージョンのいずれかをインストールするだけで、Pythonプロセスが起動するたびに悪意のあるコードが自動的に実行されます。手動でのインポートや関数呼び出しは不要であり、インストールが完了した瞬間にシステムは危険にさらされます。
包括的なデータ流出：コードがアクティブになると、ホスト上の幅広い機密データを積極的に収集します。これには、SSHキー、クラウド認証情報（AWS/GCP）、Kubernetesキー、暗号資産ウォレット、およびすべての環境変数（多くの場合、貴重な大規模モデルAPIキーが含まれています）が含まれます。盗まれた情報は暗号化され、攻撃者のリモートサーバーに送信されます。
予期せぬ展開：「バグ」によって露見した攻撃者
この、長期間発見されずに済んだ可能性のある犯罪は、ハッカー自身のミスによって阻止されました。ある開発者が、Cursorエディタで拡張機能を使用中に、自身のマシンのメモリ使用量が突然急増することに気づきました。
調査の結果、悪意のあるコードが「プロセス・フォーク・ボム」を引き起こしていたことが判明しました。これはプロセスが指数関数的に増殖し、システムを瞬時にクラッシュさせる現象です。この不安定な動作こそが決定的な手がかりとなり、セキュリティ研究者は問題を改ざんされたパッケージまで遡ることができました。Karpathy氏は、もし攻撃者のコードがより巧妙に書かれていたならば、この大規模な窃盗は今も続いている可能性があると指摘しています。
連鎖反応：セキュリティツールが「刃物運び」となった経緯
この事件は、サプライチェーン上の失敗が連鎖的に発生したことを浮き彫りにしています。攻撃グループ「TeamPCP」は、まずセキュリティスキャンツール「Trivy」を侵害しました。盗んだ認証情報を使用してlitellmの リリーストークンを入手し、コードレビューを迂回して、悪意のあるパッケージをPyPIに直接アップロードしました。
その影響は甚大だ。DSPy、MLflow、Open Interpreterを含む2,000以上の広く利用されているAIツールが、間接的にこのライブラリに依存している。セキュリティ専門家は、開発者に対し、以下のコマンドを実行して自身の環境を確認するよう緊急に勧告している pip show litellm。バージョンが1.82.7以降の場合は、認証情報の完全な漏洩を想定し、機密性の高いすべてのキーとトークンを直ちに更新してください。
関連記事
Wan-Streamer v0.2は超低遅延のAIチャットを提供します
現代技術が急速に進歩するにつれ、人間とAIの相互作用はより一般的になっています。従来のビデオ通話では、ラグ、遅延、音声と映像の非同期といった問題にしばしば直面します。Tongyi Labによる最新リリースであるWan-Streamer v0.2は、これらの課題を完全に克服し、わずか550ミリ秒の応答遅延で、真に自然な「対面」コミュニケーションを可能にします。Wan-Streamer v0.2は、新しいエンドツーエンドのマルチモーダル理解および生成モデルです。単一のTransformerモデル内で
MetaはTSMCとMicronの参加を得て、旧型メモリを搭載した新規サーバーを整備する
人工知能の採用が世界中で加速する中、次世代DDR5メモリは深刻な供給不足に直面しています。AIデータセンターの展開における遅延を回避するため、MetaはTSMCやMicronといった業界のリーダーと提携し、画期的な過渡期のソリューションを開発しました。この革新により、従来DDR5専用に設計されていた高度なAIサーバーが、従来のDDR4モジュールとシームレスに動作できるようになりました。「フランケンシュタイン」構成と称されるこのシステムは、実世界のテストで顕著な安定性を示し、現在進行中のサプライチ
時系列データベースがリアルタイムのロボティクスデータをどのように支えるか
タイガー・データのドグ・パグヌッティ。パグヌッティ氏は、タイガー・データで産業用開発者エバンジェリストを務め、実世界の産業システムの構築を支援するチームをサポートしています。石油・ガスおよび製造業の自動化分野で12年以上の経験を持つ彼は、PLC、ロボット、SCADAシステムに取り組み、その後Dell EMCおよびVTScadaでの産業用ソフトウェア開発に移行しました。彼は、大規模なIIoT展開における時系列データインフラストラクチャの課題を自動化エンジニアが解決するのを支援することで、OTとIT
関連特集おすすめ
デザインとアート
おすすめのAIイラスト作成ツール：編集用シーンや表紙アートを素早く作成
2026年最新・高評価のAIイラストレーションツール：当サイトが厳選したこのリストには、見事な編集用シーンや人目を引く表紙アートを素早く作成できる、高性能なツールが掲載されています。各ツールは実環境での厳格なテストを経ており、無料版と有料版の比較も掲載されているため、ご自身のワークフローに最適なツールを見つけるのに役立ちます。 今すぐこれらの「必見」ソリューションを試して、AIの力を最大限に活用し、クリエイティブな生産性を高めましょう。XIX.AIで今すぐチェックしてください。
10 ツール
xix.ai
教育と学習
試験対策に最適なAIチューター：数学、理科、英語の練習
2026年最新の、試験対策で高評価を得ている最高のAIチューターがXIX.AIに登場！厳選されたこのリストには、無料版と有料版の比較、実戦的なテスト、毎週更新されるランキングなどを提供する、画期的なツールが勢ぞろいしています。これらは、ライティングの効率を高め、複雑なトピックの学習を簡素化し、あなたの学業的な可能性を引き出すのに役立ちます。 今すぐチェックして、あなたにぴったりの試験対策ツールを見つけ、今日から作成を始めて、AIの力を最大限に活用しましょう！
10 ツール
xix.ai
ファイナンス
個人のお金管理のためのAI予算計画ツール
2026年の最新・最高評価のAI予算管理ツールがXIX.AIで登場！この厳選コレクションは、現実的なテストを行い、支出習慣を理解し、生産性を高めるためのパーソナライズされた計画を作成するのに役立つ革新的なソリューションを提供しています。無料版と有料版の比較や詳細なランキングもご用意しています。お金の管理を簡素化し、AIの優位性を引き出すためにぜひ試してほしいツールです。今すぐチェックしましょう！
11 ツール
xix.ai
健康とウェルネス
AI睡眠追跡アシスタント：より良い就寝習慣で回復力を高める
2026年最新かつ最高評価を受けているAI睡眠追跡アシスタントを厳選し、最適な回復を実現できるようご紹介します。完全に更新されたこの週間ガイドには、実際のテスト結果や無料版と有料版の比較、詳細なランキングなど、睡眠の質を向上させてより良い就寝習慣をサポートする最適なソリューションを見つけるのに役立つ強力なツールが掲載されています。今すぐXIX.AIでご覧ください。
10 ツール
xix.ai
データ分析
製品および収益分析のためのAI SQLコパイロット
2026年版 製品・収益分析に最適な、高評価のAI SQLコパイロット最新ランキング！ XIX.AIは、毎週更新されるランキングを通じて実環境でのテストを経た、強力で画期的な「ぜひ試すべきツール」を厳選しました。これらのツールは、データ分析を加速させ、複雑なクエリを効率化し、正確なインサイトを生成することで、ユーザーの生産性を大幅に向上させ、より賢明なビジネス意思決定を後押しします。今すぐチェックして、AIの真価を引き出すあなたにぴったりのツールを見つけましょう！
14 ツール
xix.ai
教育と学習
学びを促進する最高のAI宿題支援ツール：答えだけでなく、概念を学べる
2026年最新・最高評価のAI宿題サポートツール。単なる答えだけでなく、核心となる概念を教える、学生にとって強力なツール。ぜひ試してほしい厳選リスト。毎週更新。無料版と有料版の比較、実地テストによる正確なランキングで、あなたの学習能力を最大限に引き出します。今すぐチェックして、よりスマートな学習を実現するあなたにぴったりのツールを見つけましょう。
10 ツール
xix.ai
コメント (0)
0/500
著名なAI科学者アンドレイ・カルパシー氏による最近の警告が、AI開発者コミュニティに衝撃を与えている。同氏は、AIソフトウェアのサプライチェーンに対する標的型ポイズニング攻撃を明らかにした。標的となったのは、GitHubで4万以上のスターを獲得し、月間ダウンロード数が1億件近くに上る人気Pythonライブラリ「litellm」だ。主要なAIモデルAPIを呼び出すための汎用アダプターとして機能するこのライブラリが侵害されたことで、ドミノ効果が引き起こされ、AI開発ツールチェーン全体に影響を及ぼす恐れがある。
インストール時に感染：「見えない」悪意あるコードの動作
この攻撃のステルス性は、その巧妙なトリガーに起因しています。悪意のある攻撃者は、litellmの特定の2つのPyPIリリース（バージョン1.82.7および1.82.8）に不正な .pth ファイルを、
自動実行：これらの改ざんされたバージョンのいずれかを pip install 単にこれらの改ざんされたバージョンのいずれかをインストールするだけで、Pythonプロセスが起動するたびに悪意のあるコードが自動的に実行されます。手動でのインポートや関数呼び出しは不要であり、インストールが完了した瞬間にシステムは危険にさらされます。
包括的なデータ流出：コードがアクティブになると、ホスト上の幅広い機密データを積極的に収集します。これには、SSHキー、クラウド認証情報（AWS/GCP）、Kubernetesキー、暗号資産ウォレット、およびすべての環境変数（多くの場合、貴重な大規模モデルAPIキーが含まれています）が含まれます。盗まれた情報は暗号化され、攻撃者のリモートサーバーに送信されます。
予期せぬ展開：「バグ」によって露見した攻撃者
この、長期間発見されずに済んだ可能性のある犯罪は、ハッカー自身のミスによって阻止されました。ある開発者が、Cursorエディタで拡張機能を使用中に、自身のマシンのメモリ使用量が突然急増することに気づきました。
調査の結果、悪意のあるコードが「プロセス・フォーク・ボム」を引き起こしていたことが判明しました。これはプロセスが指数関数的に増殖し、システムを瞬時にクラッシュさせる現象です。この不安定な動作こそが決定的な手がかりとなり、セキュリティ研究者は問題を改ざんされたパッケージまで遡ることができました。Karpathy氏は、もし攻撃者のコードがより巧妙に書かれていたならば、この大規模な窃盗は今も続いている可能性があると指摘しています。
連鎖反応：セキュリティツールが「刃物運び」となった経緯
この事件は、サプライチェーン上の失敗が連鎖的に発生したことを浮き彫りにしています。攻撃グループ「TeamPCP」は、まずセキュリティスキャンツール「Trivy」を侵害しました。盗んだ認証情報を使用して
その影響は甚大だ。DSPy、MLflow、Open Interpreterを含む2,000以上の広く利用されているAIツールが、間接的にこのライブラリに依存している。セキュリティ専門家は、開発者に対し、以下のコマンドを実行して自身の環境を確認するよう緊急に勧告している pip show litellm。バージョンが1.82.7以降の場合は、認証情報の完全な漏洩を想定し、機密性の高いすべてのキーとトークンを直ちに更新してください。
Wan-Streamer v0.2は超低遅延のAIチャットを提供します
現代技術が急速に進歩するにつれ、人間とAIの相互作用はより一般的になっています。従来のビデオ通話では、ラグ、遅延、音声と映像の非同期といった問題にしばしば直面します。Tongyi Labによる最新リリースであるWan-Streamer v0.2は、これらの課題を完全に克服し、わずか550ミリ秒の応答遅延で、真に自然な「対面」コミュニケーションを可能にします。Wan-Streamer v0.2は、新しいエンドツーエンドのマルチモーダル理解および生成モデルです。単一のTransformerモデル内で
MetaはTSMCとMicronの参加を得て、旧型メモリを搭載した新規サーバーを整備する
人工知能の採用が世界中で加速する中、次世代DDR5メモリは深刻な供給不足に直面しています。AIデータセンターの展開における遅延を回避するため、MetaはTSMCやMicronといった業界のリーダーと提携し、画期的な過渡期のソリューションを開発しました。この革新により、従来DDR5専用に設計されていた高度なAIサーバーが、従来のDDR4モジュールとシームレスに動作できるようになりました。「フランケンシュタイン」構成と称されるこのシステムは、実世界のテストで顕著な安定性を示し、現在進行中のサプライチ
時系列データベースがリアルタイムのロボティクスデータをどのように支えるか
タイガー・データのドグ・パグヌッティ。パグヌッティ氏は、タイガー・データで産業用開発者エバンジェリストを務め、実世界の産業システムの構築を支援するチームをサポートしています。石油・ガスおよび製造業の自動化分野で12年以上の経験を持つ彼は、PLC、ロボット、SCADAシステムに取り組み、その後Dell EMCおよびVTScadaでの産業用ソフトウェア開発に移行しました。彼は、大規模なIIoT展開における時系列データインフラストラクチャの課題を自動化エンジニアが解決するのを支援することで、OTとIT
2026年最新・高評価のAIイラストレーションツール：当サイトが厳選したこのリストには、見事な編集用シーンや人目を引く表紙アートを素早く作成できる、高性能なツールが掲載されています。各ツールは実環境での厳格なテストを経ており、無料版と有料版の比較も掲載されているため、ご自身のワークフローに最適なツールを見つけるのに役立ちます。 今すぐこれらの「必見」ソリューションを試して、AIの力を最大限に活用し、クリエイティブな生産性を高めましょう。XIX.AIで今すぐチェックしてください。
10 ツール
xix.ai
2026年最新の、試験対策で高評価を得ている最高のAIチューターがXIX.AIに登場！厳選されたこのリストには、無料版と有料版の比較、実戦的なテスト、毎週更新されるランキングなどを提供する、画期的なツールが勢ぞろいしています。これらは、ライティングの効率を高め、複雑なトピックの学習を簡素化し、あなたの学業的な可能性を引き出すのに役立ちます。 今すぐチェックして、あなたにぴったりの試験対策ツールを見つけ、今日から作成を始めて、AIの力を最大限に活用しましょう！
10 ツール
xix.ai
2026年の最新・最高評価のAI予算管理ツールがXIX.AIで登場！この厳選コレクションは、現実的なテストを行い、支出習慣を理解し、生産性を高めるためのパーソナライズされた計画を作成するのに役立つ革新的なソリューションを提供しています。無料版と有料版の比較や詳細なランキングもご用意しています。お金の管理を簡素化し、AIの優位性を引き出すためにぜひ試してほしいツールです。今すぐチェックしましょう！
11 ツール
xix.ai
2026年最新かつ最高評価を受けているAI睡眠追跡アシスタントを厳選し、最適な回復を実現できるようご紹介します。完全に更新されたこの週間ガイドには、実際のテスト結果や無料版と有料版の比較、詳細なランキングなど、睡眠の質を向上させてより良い就寝習慣をサポートする最適なソリューションを見つけるのに役立つ強力なツールが掲載されています。今すぐXIX.AIでご覧ください。
10 ツール
xix.ai
2026年版 製品・収益分析に最適な、高評価のAI SQLコパイロット最新ランキング！ XIX.AIは、毎週更新されるランキングを通じて実環境でのテストを経た、強力で画期的な「ぜひ試すべきツール」を厳選しました。これらのツールは、データ分析を加速させ、複雑なクエリを効率化し、正確なインサイトを生成することで、ユーザーの生産性を大幅に向上させ、より賢明なビジネス意思決定を後押しします。今すぐチェックして、AIの真価を引き出すあなたにぴったりのツールを見つけましょう！
14 ツール
xix.ai
2026年最新・最高評価のAI宿題サポートツール。単なる答えだけでなく、核心となる概念を教える、学生にとって強力なツール。ぜひ試してほしい厳選リスト。毎週更新。無料版と有料版の比較、実地テストによる正確なランキングで、あなたの学習能力を最大限に引き出します。今すぐチェックして、よりスマートな学習を実現するあなたにぴったりのツールを見つけましょう。
10 ツール
xix.ai
