LiteLLM с 6 по 27 октября выдавала исправление критической уязвимости корпоративным клиентам через закрытый реестр пакетов. Только затем обновления появились в общедоступных каталогах. В разборе пилота от 27 октября разработчики объяснили, зачем разделили доставку защиты и публичное раскрытие ошибки.

Уязвимость позволяла запросом без авторизации заставить шлюз прочитать локальный файл и отправить его атакующему. Так могли утечь главный ключ администратора и ключи провайдеров моделей; в некоторых конфигурациях это открывало путь к выполнению кода с правами root. Затронуты установки с Enterprise-лицензией, а не обычная открытая версия без неё. Исправления выпущены в версиях 1.103.10, 1.104.8, 1.105.6 и 1.106.5.

Компания опасается, что ИИ ускоряет поиск уязвимостей по изменениям в публичном коде: сама публикация исправления может подсказать способ атаки раньше, чем пользователи обновятся. Закрытый канал должен дать им фору. Это объяснение LiteLLM; сравнительных измерений скорости атак или числа предотвращённых взломов в отчёте нет.

Пилот выявил издержки: сборки приходилось готовить и проверять дважды, а уведомить клиентов и добиться установки оказалось сложнее, чем открыть реестр. Из-за этого период до раскрытия растянулся на лишнюю неделю. Постоянный реестр ещё предстоит запустить; условия доступа для пользователей открытой версии пока рассматривают.

Пилот начался до заражения официального релиза 21 октября, поэтому его нельзя считать мерой, принятой в ответ на тот взлом. Теперь LiteLLM предлагает отделить время выдачи наиболее важных исправлений от времени их публикации. Проверенная доставка обновления клиенту остаётся отдельной задачей даже при закрытом канале.