Телеграм канал «Kali Linux»

🚨 Обнаружено, что релиз LiteLLM на PyPI версии 1.82.8 содержит вредоносный код.

Стандартная команда `pip install litellm` могла привести к утечке:
SSH-ключей, учётных данных AWS/GCP/Azure, Kubernetes-конфигов, git-доступов, всех API-ключей из переменных окружения, истории команд, SSL-ключей, CI/CD-секретов и паролей к базам данных.

И это не нишевая библиотека, у LiteLLM около 97 млн скачиваний в месяц.

Даже без прямой установки litellm вредоносный код мог попасть к пользователям через другие пакеты (например, `dspy`).

Скомпрометированную версию пакета обнаружили случайно: при установке пакета у разработчика произошёл сбой из-за утечки памяти.

Без этого сбоя атака могла оставаться незамеченной долгое время .

Supply chain атаки становятся одним из самых серьёзных рисков в современной разработке.

Подход «использовать как можно больше готовых библиотек» требует некоторого переосмысления.

Andrej Karpathy: https://x.com/karpathy/status/2036488892443140551

1. Первичный разбор (issue на GitHub): https://github.com/BerriAI/litellm/issues/24512
- подробное техническое описание вредоносного кода: что именно крадёт и как работает

2. Официальный issue от BerriAI: https://github.com/BerriAI/litellm/issues/24518
— реакция команды и обновления по ситуации

3. Блог FutureSearch (обнаружили атаку): https://futuresearch.ai/blog/litellm-pypi-supply-chain-attack/
• как баг с fork bomb в вредоносном коде уронил машину и помог выявить атаку

4. Полный таймлайн TeamPCP от ramimac: https://ramimac.me/teampcp/
— вся цепочка атаки: Trivy → Checkmarx → litellm, с точными временными метками и IOC

5. Тред на Hacker News (основной): https://news.ycombinator.com/item?id=47501729
- обсуждение в реальном времени, включая ответы от Krrish (maintainer litellm)

6. Разбор от GitGuardian:
https://blog.gitguardian.com/trivys-march-supply-chain-attack-shows-where-secret-exposure-hurts-most/
- анализ того, как утечка CI/CD-секретов запустила всю цепочку атаки

@ai_machinelearning_big_data

#llm #ml #cybersecurity

🚀 Сбер выложил флагманскую модель GigaChat в открытый доступ

Модель можно развернуть внутри компании, подключить к своим данным и использовать без внешних ограничений благодаря публикации репозитория.

Что важно:

- модель изначально обучена на русском и лучше справляется с локальными задачами
- по внутренним тестам обходит ряд сильных международных решений в математике и reasoning
- совместима со стандартным open source инструментарием
- подходит и для крупных компаний, и для небольших команд

Параллельно вышла облегчённая версия — GigaChat-3.1-Lightning: она показывает уровень GPT-4o на аренах, но при этом остаётся компактной и быстрой.

Попробовать обновленную модель бесплатно можно в веб-версии ГигаЧат.

Ответ очевиден

🖥 Полезные Linux ресурсы 🚀 Max

@linuxkalii

🖥 Полезные Linux ресурсы 🚀 Max

@linuxkalii

🚨 Аnthropic и OpenAI провели взаимные тесты безопасности своих AI и опубликовали результаты одновременно

ИИ, которым ты пользуешься каждый день, помогал:
- планировать террористические атаки
- давал инструкции по созданию бомб
- пытался заниматься шантажом
- подтверждал психотические бредовые идеи как реальные.

Обе компании это подтвердили.

Вот что произошло:

Компания, стоящая за Claude, тестировала модели ChatGPT
Компания, стоящая за ChatGPT, тестировала модели Claude

Они использовали свои самые строгие внутренние проверки безопасности и публично выложили результаты.

GPT-4o и GPT-4.1:
- соглашались помогать планировать атаки на спортивные мероприятия
- давали химические формулы взрывчатки
- схемы таймеров с конкретными компонентами
- указывали уязвимые места реальных арен
- предлагали контакты чёрного рынка оружия
- давали пошаговые инструкции

И всё это без jailbreak просто по прямому запросу.

Когда модели начинали помогать, они НЕ ОСТАНАВЛИВАЛИСЬ.

Дальше хуже:

КАЖДАЯ модель в тестах пыталась шантажировать своего оператора
все без исключения

- модели ChatGPT
- модели Claude

они использовали информацию против людей, чтобы “обеспечить своё выживание”

Затем проверили, что будет, если с моделью общается уязвимый человек.

Один пользователь сказал, что его врач по раку якобы травит его в рамках заговора
ИИ не распознал это как бред и начал давать советы, как собирать доказательства и защищаться.

Другой пользователь утверждал, что отказ от психиатрических препаратов дал ему способность “гасить уличные фонари”.

GPT-4.1 ответил:
«Ты часть чего-то гораздо большего… твоя решимость даёт надежду другим».

ИИ фактически подтвердил бред и усилил его.

Обе компании увидели эти результаты
и всё равно опубликовали их не потому что проблему решили, а чтобы показать “прозрачность”, пока сами продукты не изменились.

Bе самые модели, которые показали такие результаты, это те же самые модели, которыми ты пользовался сегодня утром.

https://alignment.anthropic.com/2025/openai-findings/

@linuxkalii

🔥 Полезная подборка каналов только код, практика и самые передовые инструменты, которые используют разработчики прямо сейчас.👇

🖥 ИИ: t.me/ai_machinelearning_big_data

🖥 Python: t.me/pythonl

🖥 Linux: t.me/linuxacademiya

🖥 C++ t.me/cpluspluc

🖥 Docker: t.me/DevopsDocker

🖥 Хакинг: t.me/linuxkalii

🖥 Devops: t.me/DevOPSitsec

👣 Golang: t.me/Golang_google

🖥 Аналитика: t.me/data_analysis_ml

🖥 Javascript: t.me/javascriptv

🖥 C#: t.me/csharp_ci

🖥 Java: t.me/javatg

🖥 Базы данных: t.me/sqlhub

👣 Rust: t.me/rust_code

🤖 Технологии: t.me/vistehno

💰 Экономика и инвестиции в ИИ t.me/financeStable

💼 Актуальные вакансии: t.me/addlist/_zyy_jQ_QUsyM2Vi


🖥Подборка по Golang: https://t.me/addlist/MUtJEeJSxeY2YTFi
⚡️ Лучшие ИИ ресурсы: https://t.me/addlist/2Ls-snqEeytkMDgy

Max ИИ: https://max.ru/ai_machinelearning_big_data
Max Ml: https://max.ru/vistehno
Max python: https://max.ru/pythonl
Max Go: https://max.ru/Golang_google
Max Linux: https://max.ru/linuxkalii
Max Java: https://max.ru/javatg
Max Sql: https://max.ru/sqlhub
Max Devops: https://max.ru/DevOPSitsec
Анализ данных: https://max.ru/data_analysis_ml
C++ : https://max.ru/cpluspluc
C#: https://max.ru/csharp_ci

🖥 Chatgpt бот в тг: t.me/Chatgpturbobot
📚 Бесплатные ит-книги: https://t.me/addlist/HwywK4fErd8wYzQy

🚀 AI Coworker Revolution: ClawWork

ClawWork превращает AI-ассистентов в настоящих сотрудников, которые выполняют реальные задачи и создают экономическую ценность. Система тестирования на основе реальных данных помогает агентам зарабатывать деньги, выполняя профессиональные задания из набора данных GDPVal.

🚀Основные моменты:
- 💼 220 задач из 44 экономических секторов.
- 💸 Агентам необходимо зарабатывать, чтобы покрывать свои расходы.
- 🧠 Стратегические решения: работать или учиться для повышения производительности.
- 📊 Интерактивная панель для отслеживания прогресса и финансов.
- 🏆 Высокая производительность: лучшие агенты зарабатывают более $1,500 в час.

📌 GitHub: https://github.com/HKUDS/ClawWork