LiteLLM, Docker görüntülerini ve Helm paketlerini imzalamak için kullandığı anahtarı değiştirdi. Yeni dağıtımların doğrulanması, eski ortak anahtara bağlı betiklerin ve kabul kurallarının güncellenmesini gerektiriyor. Sürüm notları yeni anahtarı belirli bir kod değişikliğine bağlayıp özetini yayımlıyor. İmzalama düzenindeki geçiş, geriye taşınan değişikliklerle desteklenen eski sürüm kollarına da ulaşıyor.
Uygulamaları yapay zekâ modellerine bağlayan LiteLLM, Docker görüntüleri ile Helm dağıtım paketlerini imzalayan cosign anahtarını değiştirdi. Projenin 24 Ekim tarihli sürüm notları, yeni imzaların önceki ortak anahtarla doğrulanamadığını belirtiyor. DotsBot da imzalama anahtarının değiştiğini aktarıyor.[1], [2]
Yeni anahtar e82a3c6 kod değişikliğine, önceki anahtar ise 0112e53 değişikliğine bağlı. Proje, yeni dosyanın SHA-256 özetini yayımlıyor ve doğrulama örneğinde anahtarın eklendiği kod değişikliğini sabitliyor. Aynı yöntem ana görüntünün yanı sıra veritabanı içeren ve yönetici yetkisi olmadan çalışan görüntüler için de geçerli.[1]
Değişiklik, imza doğrulama betiklerini, sürekli bütünleştirme denetimlerini ve bir kümenin hangi görüntüleri kabul ettiğini belirleyen kuralları ilgilendiriyor. LiteLLM, Kyverno, Sigstore policy-controller ve Connaisseur örneklerini veriyor. Eski anahtara sabitlenmiş kural, yeni sürüme ait görüntüyü yeni imzası yüzünden reddediyor.[1]
İmza değişikliği, 1.106.3 sürümünün yanı sıra 1.103.8, 1.104.6 ve 1.105.4 sürümlerinde de bulunuyor. Sürüm notları, eski sürüm kollarına taşınan bu değişiklikleri Docker görüntüleri ve Helm paketleri için cosign anahtarını yenileyen dağıtım düzenlemesinin altında sıralıyor.[1]
