Удалить пакет после этого мало, украденные ключи сами себя не отзовут. Все, кто разбирал инцидент, советуют одно и то же: откатиться на 1.106.2, а все секреты, которые видела заражённая машина, считать утёкшими и перевыпускать.

Я пишу ботов и парсеры на заказ, и почти в каждом проекте у меня лежит .env с токеном бота, доступом к базе, иногда с ключом от платёжки. Так что про такие истории я думаю совсем не абстрактно. Вот что я делаю, чтобы меня это задевало поменьше.

1. Версии зависимостей фиксирую точно, через ==. Никаких «поставь последнюю». Обновляю руками, когда сам решил, а не когда сервер сам пересобрался.

2. В Docker не использую тег latest. Тут прямо в тему: заражённым оказался как раз latest.

3. Новую версию популярной библиотеки не ставлю в день выхода. Пару дней подождать почти всегда можно, а такие взломы обычно находят за часы.

4. У каждого проекта свои ключи. Если утечёт один, не придётся бегать и менять всё у всех заказчиков.

5. Токены и пароли заказчик оформляет на себя. Если что-то случилось, он может отозвать их сам, не дожидаясь меня.

На сто процентов ничего из этого не спасает. Если бы я в ту среду в обед пересобирал проект с незафиксированной версией, словил бы то же самое. Но шансов меньше, и разгребать потом меньше.

Кстати, по данным Chainguard, LiteLLM так ломают уже второй раз за семь месяцев. Если у вас где-то стоит litellm без указания версии, гляньте, какая там сейчас.

Чтобы агенты работали без него, pepsipu собрал стенд. Два устройства JetKVM передавали нажатия кнопок контроллера и забирали картинку с HDMI. Отдельной проблемой стала кнопка питания: зависшую Switch 2 нужно перезагружать вручную. Поэтому на нее приладили купленный на Amazon Bluetooth-выключатель для света – его рычажок и жал на кнопку, когда приставка падала.

Несколько копий Codex искали дыры параллельно. Одна пробовала зайти через встроенный браузер и даже отрапортовала об успехе, но дальше запуска уже имеющихся функций не продвинулась – автор называет эту ставку проигранной. Другая взялась за SmileBASIC, среду для программирования на Бейсике со Switch 1, которая запускается и на новой приставке. В команде удаления элементов массива нашлось переполнение целого числа, и вскоре на экране Switch 2 появилось окно ошибки с надписью "HELLO FROM SWITCH 2".

Остальные агенты копались в системных модулях – звуке, локальной сети, графике. Одну из ключевых дыр, переполнение буфера при обработке путей к файлам, нашел Codex. Финальную цепочку автор собирал сам: выбрал целью модуль fs, который отвечает за файловую систему и расшифровку кода, вытащил через него остальные системные модули для разбора и в итоге научился подменять код, который система загружает при запуске программ.

Чтобы показать взлом в деле, pepsipu с тем же Codex за один день навайбкодил мод для Mario Kart World – эксклюзива Switch 2. В гонки добавили новых персонажей, включая Синнаморолла из Sanrio, а выбирать и тестировать их помогали друзья автора.

Подпись под фото стенда – "поставил цель взломать Switch 2, не ошибайся" – звучит как шутка про волшебный промпт, и это действительно шутка: автор пояснил, что такого запроса не писал. Агентам он ставил цель скромнее – выполнить код в пользовательском режиме.

Джейлбрейк пока привязанный, то есть после перезагрузки его приходится запускать заново с внешней помощью. Это еще не кастомная прошивка, а инструмент для энтузиастов, и сам pepsipu надеется, что сообщество доведет его до полноценной прошивки. Про пиратские игры в его разборе нет ни слова.

P.S. Как люди с помощью ИИ взламывают, чинят и переделывают свою технику, я регулярно рассказываю в телеграм-канале "Сбежавшая нейросеть".

Самое интересное в том, как он это делал. Первым делом, по его словам, собрал вокруг Switch 1 и Switch 2 обвязку, чтобы нейросеть Codex от OpenAI могла взломать приставку вообще без него. Нейросеть видела экран через KVM-переходник, а перезагружала приставку через Bluetooth-выключатель света. То есть код писала и проверяла она сама, а при зависании сама жала «выключить-включить».

Сначала Codex копал в сторону встроенного браузера, потом переключился на SmileBASIC 4. Это программа для детей и новичков, чтобы писать свои игры на бейсике, она ещё с первой Switch и стоит в магазине Nintendo около 25 долларов. В ней нашли ошибку переполнения целого числа, и через неё приставка начинает выполнять чужой код. Ушло на всё около двух недель, и автор пишет, что работы было много даже с нейросетью.

Полноценной прошивкой это пока не назвать. Приставку надо подключать к компьютеру, а после выключения взлом слетает и всё делается заново. Но домашние программы и моды на Switch 2 уже запускаются. Kotaku прямо пишет, что такие взломы всегда больше про пиратство, чем про домашние программы, и при цене Mario Kart World в 80 долларов понятно, почему. Nintendo пока молчит, а в Kotaku и XDA уверены, что SmileBASIC 4 скоро уберут из магазина и выпустят заплатку прошивки.

Я сам каждый день пишу код с нейросетью и знаю, как она умеет тупить на ровном месте. А тут ей дали руки в виде выключателя света, и она за две недели вскрыла приставку, которую Nintendo больше года после выхода держала закрытой. Даже немного завидно: мне она пока максимум кнопку на сайте правильно ставит.

Это не единичный случай. 14–15 октября взломали облачную платформу Zeabur, на которой разработчики размещают свои сервисы. Атакующий прочитал больше 3,2 млн переменных окружения – так называют настройки, в которых часто хранятся пароли и ключи доступа, – и данные 321 тысячи аккаунтов. По оценке самой компании, искали в первую очередь ключи, которыми можно сразу воспользоваться, особенно ключи к ИИ-сервисам. Попытки обратиться к нейросетям Amazon через ключ самой Zeabur, по ее данным, провалились.

Через несколько дней основатель Zeabur Юаньлинь Линь объявил, что 31 декабря платформа закроется. Взлом стал одной из причин – он вскрыл старые проблемы с безопасностью, – но Линь называет и другие: систему, ставшую слишком сложной, и рост, который уперся в потолок. А 21 октября о похожем инциденте сообщила облачная платформа Railway: часть секретов клиентов могла оказаться у посторонних. Компания считает, что это часть серии атак на платформы, цель которой – получить доступ к ИИ-сервисам.

Логика у атакующих простая: мощные модели стоят дорого, а ключ доступа к ним – почти готовые деньги. Им можно пользоваться самому, перепродать или массово выкачивать ответы чужой модели, чтобы обучить на них свою. Неделю назад по той же схеме пострадали пользователи ИИ-помощника для программистов OpenCode: с их ключей списывали сотни и тысячи долларов.

Что советуют исследователи: ставить жесткие лимиты расходов, а не только уведомления о них, следить за неожиданным включением ИИ-сервисов и появлением новых ключей. А если ключ мог утечь – отзывать именно его: смена пароля и двухфакторная аутентификация уже выданный ключ или токен не отменяют.

P.S. Почему доступ к нейросетям стал новой валютой – и для бизнеса, и для взломщиков, я разбираю в канале "Сбежавшая нейросеть".