История о том как вайб-кодинг спас тысячи компаний от взлома 🤔

Кто-то отравил Python-пакет LiteLLM, который скачивают 97 миллионов раз в месяц, и одного простого pip install было достаточно, чтобы утащить SSH-ключи, AWS-креды, крипто-кошельки, пароли от баз данных, git-учётные данные, историю шелла, SSL-приватные ключи и вообще всё.

А теперь внимательно: атаку обнаружили только потому, что атакующий -- криворукий кодер. Малварь жрала столько оперативки, что у кого-то упал комп. Если бы атакующий был хотя бы чуть умнее -- никто бы не замечал это неделями. НЕДЕЛЯМИ... Что он мог вообще натворить…

Этот чел, у которого и упал комп, стал спасителем тысяч компаний от того, чтобы у них угнали всю инфраструктуру. Он использовал Cursor с MCP-плагином, один из этих MCP-плагинов незаметно подтянул себе библиотеку litellm как транзитивную зависимость (то есть разработчик даже не писал pip install litellm и вообще не знал, что она появилась в его окружении). После краша он пошёл проверять пакеты и вот так это узнал весь мир.

Будьте осторожнее: каждый раз, когда устанавливаете любой пакет -- вы доверяете абсолютно каждой зависимости в его дереве. Любая может быть заражена. 🙀

С иронией на лице заявляю: вайб-кодинг тоже нас спас. Атакующий вайб-кодил и накосячил настолько, что атака не смогла работать тихо. В следующий раз такой ошибки уже не будет.

📱 Youtube | 💬Чат | 📱 Канал