La sicurezza dell’open source passa anche dalla catena di distribuzione
Il 22 ottobre è stata segnalata una compromissione che ha coinvolto la distribuzione del progetto open source LiteLLM su PyPI. Secondo le prime informazioni pubblicate, alcuni pacchetti e immagini Docker malevoli sarebbero stati diffusi con l’obiettivo di sottrarre credenziali e altri segreti dagli ambienti in cui venivano eseguiti.
Il caso mette in luce un aspetto spesso meno visibile della sicurezza del software: non basta chiedersi se il codice di un progetto sia aperto e ispezionabile. Conta anche come il software viene pubblicato, scaricato e aggiornato, e quali controlli proteggono i passaggi tra chi mantiene un progetto e chi lo installa.