ਮਾਰਚ 2026 ਵਿੱਚ AI ਲਾਇਬ੍ਰੇਰੀ LiteLLM 'ਤੇ ਹੋਏ ਸਪਲਾਈ-ਚੇਨ ਹਮਲੇ ਨੇ ਦੁਨੀਆ ਭਰ ਦੀਆਂ 2,500 ਤੋਂ ਵੱਧ ਸੰਸਥਾਵਾਂ ਦੇ ਕਲਾਉਡ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲਜ਼ (Cloud Credentials) ਨੂੰ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਖਤਰੇ ਵਿੱਚ ਪਾ ਦਿੱਤਾ ਹੈ। ਨਿਵੇਸ਼ਕਾਂ ਨੂੰ ਕੰਪਨੀਆਂ ਦੀਆਂ ਸੁਰੱਖਿਆ ਰਿਪੋਰਟਾਂ 'ਤੇ ਨਜ਼ਰ ਰੱਖਣੀ ਚਾਹੀਦੀ ਹੈ, ਕਿਉਂਕਿ ਇਸ ਘਟਨਾ ਕਾਰਨ ਚੋਰੀ ਹੋਏ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲਜ਼ ਨੂੰ ਰੱਦ (Revoke) ਕੀਤੇ ਜਾਣ ਤੱਕ ਅਣਅਧਿਕਾਰਤ ਪਹੁੰਚ (Unauthorized Access) ਅਤੇ ਕਾਰਜਕਾਰੀ ਜੋਖਮ (Operational Risks) ਦਾ ਖ਼ਤਰਾ ਬਣਿਆ ਹੋਇਆ ਹੈ।
ਸੁਰੱਖਿਆ ਵਿੱਚ ਖਾਮੀ ਦਾ ਖੁਲਾਸਾ
ਓਪਨ-ਸੋਰਸ AI ਲਾਇਬ੍ਰੇਰੀ LiteLLM ਨਾਲ ਜੁੜੀ ਇੱਕ ਵੱਡੀ ਸੁਰੱਖਿਆ ਘਟਨਾ ਨੇ ਦੁਨੀਆ ਭਰ ਦੀਆਂ 2,500 ਤੋਂ ਵੱਧ ਸੰਸਥਾਵਾਂ ਦੇ ਸੰਵੇਦਨਸ਼ੀਲ ਡਾਟਾ ਨੂੰ ਖਤਰੇ ਵਿੱਚ ਪਾ ਦਿੱਤਾ ਹੈ। ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਫਰਮ CloudSEK ਦੁਆਰਾ ਅਗਸਤ 2026 ਵਿੱਚ ਜਾਰੀ ਕੀਤੀ ਗਈ ਰਿਪੋਰਟ ਵਿੱਚ ਪਾਇਆ ਗਿਆ ਹੈ ਕਿ ਮਾਰਚ 2026 ਵਿੱਚ ਇਸ ਟੂਲ ਦਾ ਇੱਕ ਦੁਰੱਗ ਸੰਸਕਰਨ (Malicious Version) ਵੰਡਿਆ ਗਿਆ ਸੀ। ਇਸ ਘਟਨਾ ਨੇ ਆਟੋਮੇਟਿਡ ਸੋਫਟਵੇਅਰ ਅਪਡੇਟ ਸਿਸਟਮ, ਜਿਨ੍ਹਾਂ ਨੂੰ CI/CD ਪਾਈਪਲਾਈਨ ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ ਹੈ, ਜਿਸਦੀ ਵਰਤੋਂ ਕੰਪਨੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਬਣਾਉਣ ਅਤੇ ਡਿਪਲੋਏ ਕਰਨ ਲਈ ਕਰਦੀਆਂ ਹਨ। ਇਸ ਨਾਲ ਡਾਟਾ ਲੀਕ ਹੋਣ ਦਾ ਇੱਕ ਵੱਡਾ ਮੌਕਾ ਬਣ ਗਿਆ।
ਹਮਲੇ ਦਾ ਤਰੀਕਾ
ਸਾਈਬਰ ਅਪਰਾਧੀ, ਜਿਨ੍ਹਾਂ ਦੀ ਪਛਾਣ TeamPCP ਗਰੁੱਪ ਵਜੋਂ ਹੋਈ ਹੈ, ਨੇ LiteLLM ਪਾਈਪਲਾਈਨ 'ਤੇ ਕੰਟਰੋਲ ਹਾਸਲ ਕਰਨ ਲਈ ਇੱਕ ਵਲਨਰੇਬਿਲਟੀ ਸਕੈਨਰ (Vulnerability Scanner) ਨੂੰ ਹੈਕ ਕੀਤਾ। ਲਗਭਗ 40 ਮਿੰਟ ਲਈ, ਸੋਫਟਵੇਅਰ ਦੇ ਦੁਰੱਗ ਸੰਸਕਰਨ ਡਾਊਨਲੋਡ ਲਈ ਉਪਲਬਧ ਸਨ। ਕਿਉਂਕਿ ਬਹੁਤ ਸਾਰੀਆਂ ਸੰਸਥਾਵਾਂ ਸੋਫਟਵੇਅਰ ਅਪਡੇਟ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਆਟੋਮੇਟਿਡ ਟੂਲਜ਼ ਦੀ ਵਰਤੋਂ ਕਰਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਇਹ ਦੁਰੱਗ ਕੋਡ ਅਣਜਾਣੇ ਵਿੱਚ ਅੰਦਰੂਨੀ ਸਿਸਟਮਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋ ਗਿਆ। ਮੁੱਖ ਖਤਰਾ ਇਹ ਹੈ ਕਿ ਇਸ ਪ੍ਰਭਾਵਿਤ ਸੋਫਟਵੇਅਰ ਨੇ ਏਨਵਾਇਰਨਮੈਂਟ ਵੇਰੀਏਬਲਜ਼ (Environment Variables), AWS, Microsoft Azure, ਅਤੇ Google Cloud ਵਰਗੇ ਪਲੇਟਫਾਰਮਾਂ ਲਈ ਕਲਾਉਡ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲਜ਼, API ਕੁੰਜੀਆਂ (API Keys) ਅਤੇ ਸੋਰਸ ਕੋਡ (Source Code) ਨੂੰ ਕੈਪਚਰ ਕਰ ਲਿਆ।
ਵੱਡੀਆਂ ਕਾਰਪੋਰੇਸ਼ਨਾਂ 'ਤੇ ਅਸਰ
ਜਾਂਚ ਤੋਂ ਮਿਲੇ ਉੱਚ-ਵਿਸ਼ਵਾਸ ਵਾਲੇ ਲਿੰਕ ਦਰਸਾਉਂਦੇ ਹਨ ਕਿ ਇਸ ਘਟਨਾ ਦੌਰਾਨ ਕਈ ਵੱਡੀਆਂ ਗਲੋਬਲ ਕੰਪਨੀਆਂ ਨਾਲ ਸਬੰਧਤ ਵਾਤਾਵਰਣਾਂ (Environments) ਤੋਂ ਡਾਟਾ ਕੈਪਚਰ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਸ ਸੂਚੀ ਵਿੱਚ NVIDIA, Samsung Electronics, Cisco Systems, Siemens, S&P Global, ServiceNow, Deloitte, Vodafone, X Corp, Zscaler, FedEx, Volkswagen, Thales, ਅਤੇ London Stock Exchange Group ਸ਼ਾਮਲ ਹਨ। ਨਿਵੇਸ਼ਕਾਂ ਲਈ ਇਹ ਸਮਝਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ ਇਹ ਕੰਪਨੀਆਂ ਦੇ ਮੁੱਖ ਪ੍ਰੋਡਕਸ਼ਨ ਸਿਸਟਮਾਂ (Production Systems) ਵਿੱਚ ਸਿੱਧੀ ਹੈਕਿੰਗ ਦੀ ਬਜਾਏ, ਕ੍ਰੈਡੈਂਸ਼ੀਅਲਜ਼ ਦੀ ਸੰਭਾਵੀ ਚੋਰੀ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। ਹਾਲਾਂਕਿ, ਅਜਿਹੇ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲਜ਼ ਦਾ ਖੁਲਾਸਾ, ਜੇਕਰ ਉਹ ਕੁੰਜੀਆਂ (Keys) ਅਜੇ ਤੱਕ ਰੱਦ ਜਾਂ ਰੋਟੇਟ (Rotate) ਨਹੀਂ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ, ਤਾਂ ਕਲਾਉਡ ਖਾਤਿਆਂ ਅਤੇ ਅੰਦਰੂਨੀ ਨੈੱਟਵਰਕਾਂ ਤੱਕ ਅਣਅਧਿਕਾਰਤ ਪਹੁੰਚ ਦੀ ਸੰਭਾਵਨਾ ਬਣਾਉਂਦਾ ਹੈ।
ਨਿਵੇਸ਼ਕਾਂ ਨੂੰ ਸੁਰੱਖਿਆ ਅਪਡੇਟਾਂ 'ਤੇ ਨਜ਼ਰ ਕਿਉਂ ਰੱਖਣੀ ਚਾਹੀਦੀ ਹੈ?
ਨਿਵੇਸ਼ਕਾਂ ਲਈ, ਇਹ ਘਟਨਾ ਸੋਫਟਵੇਅਰ ਸਪਲਾਈ-ਚੇਨ ਕਮਜ਼ੋਰੀਆਂ (Supply-Chain Vulnerabilities) ਨਾਲ ਜੁੜੇ ਵਧ ਰਹੇ ਕਾਰਜਕਾਰੀ ਜੋਖਮ ਨੂੰ ਉਜਾਗਰ ਕਰਦੀ ਹੈ। ਜਿਵੇਂ-ਜਿਵੇਂ ਕੰਪਨੀਆਂ ਆਪਣੇ ਇਨਫਰਾਸਟ੍ਰਕਚਰ ਵਿੱਚ ਵਧੇਰੇ ਥਰਡ-ਪਾਰਟੀ AI ਟੂਲਜ਼ ਨੂੰ ਏਕੀਕ੍ਰਿਤ (Integrate) ਕਰਦੀਆਂ ਹਨ, ਇੱਕ ਇਕੱਲਾ ਪ੍ਰਭਾਵਿਤ ਡਿਪੈਂਡੈਂਸੀ (Dependency) ਕਈ ਤਰ੍ਹਾਂ ਦੇ ਜੋਖਮ ਪੈਦਾ ਕਰ ਸਕਦਾ ਹੈ। ਮੁੱਖ ਚਿੰਤਾ ਸਿਰਫ ਸ਼ੁਰੂਆਤੀ ਡਾਟਾ ਚੋਰੀ ਨਹੀਂ ਹੈ, ਸਗੋਂ ਇਹ ਲੰਮੇ ਸਮੇਂ ਦਾ ਖਤਰਾ ਹੈ ਜੇਕਰ ਪ੍ਰਭਾਵਿਤ ਕੰਪਨੀਆਂ ਮਾਰਚ ਦੀ ਘਟਨਾ ਤੋਂ ਤੁਰੰਤ ਬਾਅਦ ਆਪਣੇ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲਜ਼ ਨੂੰ ਰੋਟੇਟ ਕਰਨ ਵਿੱਚ ਅਸਫਲ ਰਹੀਆਂ। ਜੇਕਰ ਅਣਅਧਿਕਾਰਤ ਧਿਰਾਂ ਕੋਲ ਵੈਧ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਹਨ, ਤਾਂ ਉਹ ਸਿਧਾਂਤਕ ਤੌਰ 'ਤੇ ਕਾਰਪੋਰੇਟ ਨੈੱਟਵਰਕਾਂ ਵਿੱਚ ਦਾਖਲ ਹੋ ਕੇ ਮਲਕੀਅਤ ਵਾਲਾ ਡਾਟਾ ਚੋਰੀ ਕਰ ਸਕਦੇ ਹਨ, ਕਾਰਜਾਂ ਵਿੱਚ ਵਿਘਨ ਪਾ ਸਕਦੇ ਹਨ, ਜਾਂ ਮਾਲਵੇਅਰ ਸਥਾਪਿਤ ਕਰ ਸਕਦੇ ਹਨ।
ਨਿਵੇਸ਼ਕ ਇਹਨਾਂ ਕੰਪਨੀਆਂ ਤੋਂ ਉਹਨਾਂ ਦੇ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਆਡਿਟ (Cybersecurity Audits) ਅਤੇ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਰੋਟੇਸ਼ਨ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਸਥਿਤੀ ਬਾਰੇ ਅਧਿਕਾਰਤ ਅਪਡੇਟਸ ਦੀ ਭਾਲ ਕਰ ਸਕਦੇ ਹਨ। ਹਾਲਾਂਕਿ ਬਹੁਤ ਸਾਰੀਆਂ ਫਰਮਾਂ ਕੋਲ ਅਜਿਹੇ ਖਤਰਿਆਂ ਨਾਲ ਨਜਿੱਠਣ ਲਈ ਮਜ਼ਬੂਤ ਸੁਰੱਖਿਆ ਪ੍ਰੋਟੋਕੋਲ ਹਨ, ਪਰ ਇਸ ਘਟਨਾ ਦਾ ਪੈਮਾਨਾ ਕੰਪਨੀ ਦੇ ਜੋਖਮ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਕਾਰਕ ਵਜੋਂ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਰਚੇ ਅਤੇ ਸ਼ਾਸਨ (Governance) ਦੀ ਮਹੱਤਤਾ ਨੂੰ ਉਜਾਗਰ ਕਰਦਾ ਹੈ। ਇਹਨਾਂ ਸੰਸਥਾਵਾਂ ਲਈ ਅਗਲਾ ਮਹੱਤਵਪੂਰਨ ਕਦਮ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣਾ ਹੋਵੇਗਾ ਕਿ ਸਾਰੇ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਪ੍ਰਭਾਵਿਤ ਕੁੰਜੀਆਂ ਨੂੰ ਅਯੋਗ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ ਅਤੇ ਭਵਿੱਖ ਵਿੱਚ ਸਮਾਨ ਖਤਰਿਆਂ ਤੋਂ ਬਚਾਅ ਲਈ ਉਹਨਾਂ ਦੇ ਅੰਦਰੂਨੀ ਸੁਰੱਖਿਆ ਆਰਕੀਟੈਕਚਰ ਨੂੰ ਮਜ਼ਬੂਤ ਕੀਤਾ ਗਿਆ ਹੈ।