اگر آپ کی کمپنی کے پاس کوئی AI ایپلیکیشن، چیٹ بوٹ یا اندرونی ٹول ہے جو GPT، Claude یا Gemini جیسے ماڈلز سے جڑتا ہے، تو آج اپنی تکنیکی ٹیم سے ایک ہی سوال پوچھیں: کیا 21 اکتوبر 2026 کو کسی سرور، لیپ ٹاپ یا بلڈ پائپ لائن نے LiteLLM کا ورژن 1.107.0 انسٹال کیا تھا؟ یہ ورژن حملہ آوروں نے شائع کیا تھا اور ریاض کے وقت کے مطابق 14:39 سے 16:23 تک تقریباً دو گھنٹے PyPI پر رہا، اور اسے تقریباً 49,000 بار ڈاؤن لوڈ کیا گیا۔ یہ کلاؤڈ کیز، AI فراہم کنندگان کی کیز، ڈیٹا بیس پاس ورڈز اور SSH کیز چراتا ہے۔ اگر جواب ہاں ہے تو اسے ان انسٹال کرنا کافی نہیں: مشین کو صاف امیج سے دوبارہ بنائیں اور ہر وہ کی بدلیں جس تک اس کی رسائی تھی۔ محفوظ ورژن 1.106.2 ہے۔

اصل میں کیا ہوا؟

LiteLLM ایک اوپن سورس لائبریری اور گیٹ وے ہے جو ایک ہی ایپلیکیشن کو ایک ہی انٹرفیس کے ذریعے درجنوں AI ماڈلز سے بات کرنے دیتا ہے، اسی لیے بہت سی کمپنیاں اسے اپنی AI مصنوعات کے مرکز میں رکھتی ہیں۔ Chainguard کے مطابق پچھلے مہینے PyPI پر اس کے 100 ملین سے زیادہ ڈاؤن لوڈز ہوئے، اور 2,000 سے زیادہ دوسرے پیکیجز اس پر انحصار کرتے ہیں، اس لیے بہت سی ٹیمیں اسے جانے بغیر انسٹال کر لیتی ہیں۔

LiteLLM کی سرکاری واقعہ رپورٹ کے مطابق حملہ آوروں نے GitHub کے وہ ایکسیس ٹوکن حاصل کر لیے جو پروجیکٹ کے لاگز میں لیک ہو گئے تھے۔ 21 اکتوبر کو UTC کے مطابق 10:08 پر انہوں نے ایک خصوصی اختیارات والے ڈویلپر کی اسناد سے برانچ کا تحفظ توڑا اور ریلیز کا عمل بدل دیا تاکہ وہ ملتے جلتے نام والی ریپوزٹری سے بنے: «BerriAI/litellm» کی جگہ «Berri-AI/litellm»۔ UTC کے مطابق 11:39 پر نقصان دہ فائلیں PyPI پر پہنچیں، اور UTC کے مطابق 11:46 پر v1.107.0، latest، main-latest اور main-stable ٹیگز کے ساتھ آلودہ Docker امیجز جاری ہوئیں۔ PyPI نے UTC کے مطابق 13:23 تک ورژن ہٹا دیا، اور Docker ٹیگز UTC کے مطابق 14:20 پر صاف کیے گئے، یعنی ریاض میں 17:20 بجے۔

یہ اس سال اسی پروجیکٹ پر دوسرا حملہ ہے۔ Chainguard بتاتا ہے کہ مارچ 2026 میں ایک گروہ نے چوری شدہ PyPI ٹوکن سے ورژن 1.82.7 اور 1.82.8 شائع کیے تھے۔

نقصان دہ ورژن کیا چراتا ہے؟

خطرناک بات یہ ہے کہ یہ آپ کی ایپلیکیشن کے LiteLLM استعمال کرنے کا انتظار نہیں کرتا۔ اس ورژن نے Python کی اسٹارٹ اپ فائلیں شامل کیں جو اس مشین پر ہر بار Python شروع ہونے پر چلتی ہیں، چاہے کمانڈ کا اس سے کوئی تعلق نہ ہو۔ Wiz کے تجزیے کے مطابق چور پروگرام نے یہ چیزیں جمع کیں:

  • کنفیگریشن فائلوں، انوائرنمنٹ ویری ایبلز اور سرور میٹا ڈیٹا سے AWS، Google Cloud اور Azure کی کلاؤڈ کیز۔
  • OpenAI، Anthropic، Cohere اور دیگر AI فراہم کنندگان کی API کیز، یعنی آپ کا بل اور آپ کا ڈیٹا۔
  • نجی SSH کیز، شیل ہسٹری، اور براؤزرز میں محفوظ پاس ورڈز اور کوکیز۔
  • LiteLLM Proxy کے ڈیٹا بیس میں محفوظ زیادہ سے زیادہ 500 فراہم کنندہ اسناد۔

حملہ آور چوری شدہ مال پر بیٹھے نہیں رہے۔ Wiz نے دیکھا کہ چوری کے تقریباً 4.5 گھنٹے بعد بلڈ سرورز اور Kubernetes نوڈز سے چوری شدہ AWS اسناد آزمائی جا رہی تھیں۔ میلویئر نے ایک دوسرا مرحلہ بھی انسٹال کیا جو ہر گھنٹے ریموٹ کوڈ لاتا ہے، اس لیے پیکیج ہٹانے کے بعد بھی مشین کھلی رہتی ہے۔

کیا میری کمپنی متاثر ہے؟

اگر آپ کی ٹیم درست ورژن فکس کرتی ہے اور 21 اکتوبر کو ریاض کے وقت کے مطابق 14:39 سے 17:20 کے درمیان کچھ بھی اپ ڈیٹ نہیں کیا، تو آپ غالباً متاثر نہیں ہیں۔ اگر ان میں سے کوئی بات لاگو ہوتی ہے تو آپ متاثر ہو سکتے ہیں:

  • کوئی سرور یا کنٹینر مقررہ ورژن کے بغیر «pip install litellm» چلاتا ہے، یا Docker کا «latest» ٹیگ کھینچتا ہے۔
  • کسی CI/CD پائپ لائن نے اس دوپہر دوبارہ بلڈ کیا۔
  • کسی ڈویلپر نے اس دن اپنے لیپ ٹاپ پر LiteLLM آزمایا۔
  • آپ کا سسٹم کوئی ایسا دوسرا پیکیج استعمال کرتا ہے جو LiteLLM پر انحصار کرتا ہے۔

LiteLLM کا کہنا ہے کہ اس کے نجی Enterprise ورژن کے صارفین متاثر نہیں ہوئے۔

آج اٹھانے والے پانچ اقدامات

  • تلاش کریں: لاک فائلوں، بلڈ لاگز اور کنٹینر امیجز میں ورژن 1.107.0، اور Python پیکیج فولڈر میں cook.pth اور sitecustomize.py فائلیں۔
  • دوبارہ بنائیں: اگر یہ ملے تو صرف ان انسٹال کر کے نہ رکیں۔ سرکاری رپورٹ خبردار کرتی ہے کہ متاثرہ ماحول میں pip چلانے سے میلویئر دوبارہ فعال ہو سکتا ہے۔ مشین یا کنٹینر کو صاف امیج سے دوبارہ بنائیں۔
  • تمام کیز بدلیں: کلاؤڈ کیز اور رولز، AI فراہم کنندگان کی کیز، ڈیٹا بیس پاس ورڈز اور SSH کیز جن تک مشین پہنچ سکتی تھی۔ فرض کریں کہ یہ پہلے ہی حملہ آوروں کے ہاتھ میں ہیں۔
  • لاگز کا جائزہ لیں: 21 اکتوبر سے کلاؤڈ سرگرمی میں GetCallerIdentity جیسی غیر معمولی کالز دیکھیں، اور اپنے AI فراہم کنندہ کے بل میں ایسے خرچ پر نظر رکھیں جسے آپ نہیں پہچانتے۔
  • ورژن فکس کریں: litellm==1.106.2 یا بعد کی کوئی سرکاری اصلاح انسٹال کریں، اور «latest» خود بخود کھینچنے کے بجائے ہر لائبریری کو لاک فائل سے فکس کریں۔

اگر آپ نے AI ایجنٹس کے کوڈ میں بھولی ہوئی کیز پر ہمارا پچھلا مضمون پڑھا ہے، تو سبق وہی ہے، بس دوسرے زاویے سے: AI کیز اب آپ کی کمپنی کے سب سے قیمتی رازوں میں شامل ہیں، اور جہاں یہ جمع ہوتی ہیں وہ جگہ نشانہ بن جاتی ہے۔

Origami کی رائے

یہاں کسی نے LiteLLM کا کوڈ خود ہیک نہیں کیا۔ حملہ آوروں نے اس کے بننے اور شائع ہونے کا طریقہ بدلا، اس لیے صرف سورس کوڈ کا جائزہ اسے نہیں پکڑ سکتا تھا۔ اسی لیے AI مصنوعات کا تحفظ لائبریری کے انتخاب سے زیادہ اس بات پر منحصر ہے کہ آپ اسے کیسے چلاتے ہیں: مقررہ ورژن، ہر ماحول کے لیے صرف ضروری اجازتوں والی الگ کی، ہر AI فراہم کنندہ کے پاس خرچ کی حد، اور اس کا واضح ریکارڈ کہ کون کس تک رسائی رکھتا ہے۔ Origami میں جب ہم کمپنیوں کے لیے AI سسٹم بناتے ہیں تو ماڈل گیٹ وے کو سسٹم کا سب سے حساس حصہ سمجھتے ہیں، کیونکہ اس کے پاس ہر چیز کی کیز ہوتی ہیں۔ اگر آپ اس واقعے کے حوالے سے اپنی AI ایپلیکیشن کی جانچ کروانا چاہتے ہیں، یا اس کی کیز اور اجازتیں دوبارہ ترتیب دینا چاہتے ہیں، تو ہم سے رابطہ کریں۔

ذرائع