Az llm projekt 0.37.2-es verziója biztonsági javítást tartalmaz, amely megakadályozza, hogy a felhasználó által konfigurált OpenAI API-kulcs véletlenül egy harmadik fél OpenAI-kompatibilis végpontjának kerüljön. A problémát Daniel de Araujo jelentette, és a kapcsolódó biztonsági értesítések azonosítói GHSA-v9h7-jj4g-f862 és GHSA-r639-rr7r-x72w.
Mi volt a hiba?
Az llm-nek van egy extra-openai-models.yaml nevű mechanizmusa, amely lehetővé teszi, hogy az llm más szolgáltatók OpenAI-kompatibilis API-végpontjaival is működjön. Az 0.37-es verzióban bevezetett új "llm openai endpoint add" parancs kezeli ezt a konfigurációt.
A hibajelentés szerint két esetben történhetett meg, hogy a konfigurált OpenAI API-kulcsot elküldték a külső szolgáltatónak:
- ha az api_key_name néven hivatkozott kulcs soha nem volt tárolva a helyi konfigurációban, vagy
- ha egy responses: true típusú modell futott a -o chat_completions 1 kapcsolóval.
Ezekben az esetekben a rendszer az adott OpenAI API-kulcsot átadhatta az extra-openai-models konfigurációban megadott külső végpontoknak, ami titkosságvesztéshez vezethetett.
Mit változtat a 0.37.2-es kiadás?
Az llm 0.37.2 célja, hogy megakadályozza a fenti helyzeteket és csökkentse annak kockázatát, hogy véletlen kulcskiszivárgás történjen. A kiadás részletei közé tartozik az extra-openai-models kezelésének módosítása és a kapcsolódó parancs munkafolyamatainak rögzítése az újonnan bevezetett "llm openai endpoint add" mechanizmuson keresztül.
Miért fontos ez?
Az OpenAI API-kulcsok titkosak, és illetéktelen kezekbe kerülésük költséges és biztonsági kockázatot jelenthet. A mostani javítás megakadályozza, hogy a felhasználók konfigurációja és kulcsai véletlenül továbbításra kerüljenek harmadik feleknek az extra-openai-models funkció használata közben.
Jelentés és érintettek
A problémát Daniel de Araujo jelezte, és a hibajegyeket a GHSA-v9h7-jj4g-f862 és GHSA-r639-rr7r-x72w azonosítják. A frissítést azoknak a felhasználóknak érdemes telepíteniük, akik extra-openai-models.yaml-t vagy az "llm openai endpoint add" parancsot használják OpenAI-kompatibilis végpontok konfigurálására.
