LLM 0.37.2 fixes API key leak to third-party endpoints
เนื้อหานี้ยังไม่มีในภาษาของคุณ จึงแสดงเป็นEnglish
เริ่มตรงนี้
Simon Willison released LLM 0.37.2 to fix a security issue, reported by Daniel de Araujo in advisories GHSA-v9h7-jj4g-f862 and GHSA-r639-rr7r-x72w, that could send a configured OpenAI API key to third-party OpenAI-compatible endpoints. The leak occurred through the extra-openai-models.yaml mechanism in two cases: when the named api_key_name was never stored, or when a model with responses: true was run with the -o chat_completions 1 option. The release closes both paths.
สร้างจากรายงาน · อัปเดต 21 ชม. ที่แล้ว
ไทม์ไลน์รายงาน
ไล่ตามรายงานเพื่อดูเหตุการณ์นี้จากหลายด้าน
- Simon WillisonLLM 0.37.2 แก้ไขปัญหาการรั่วไหลของ API key ไปยังปลายทาง OpenAI-compatible ของบุคคลที่สาม
Simon Willison เปิดตัว LLM 0.37.2 เพื่อแก้ไขปัญหาด้านความปลอดภัยที่รายงานโดย Daniel de Araujo ใน GHSA-v9h7-jj4g-f862 และ GHSA-r639-rr7r-x72w บั๊กนี้อาจส่ง OpenAI API key ที่ตั้งค่าไว้ไปยังปลายทาง OpenAI-compatible ของบุคคลที่สามผ่าน extra-openai-models.yaml หาก api_key_name ที่ระบุไม่เคยถูกจัดเก็บ หรือหากโมเดล responses: true ทำงานด้วย -o chat_completions 1
ความร้อนแรงของเหตุการณ์นี้
ยังมีการเฝ้าดูต่อเนื่องไม่พอจะวาดแนวโน้ม