Big-AGI’nin 25 Ekim tarihli sürüm notuna göre 2.1.2 sürümü, sunucuda yapılandırılmış GEMINI_API_KEY değerini gösterebilen AI Inspector istek yansıtmasını düzeltiyor. Risk, yöneticinin bu anahtarı sunucuda tanımladığı kurulumlarla ilgili; her kullanıcının anahtarının açığa çıktığı söylenmiyor. Geliştirici etkilenen kendi sunucusunda barındıran kullanıcılara sürümü yükseltmeyi ve anahtarı yenilemeyi öneriyor. Yenileme gerekli; gösterim yolunu kapatmak daha önce görülmüş bir anahtarı yeniden gizli yapamaz. Sürüm notu kusuru ve düzeltmeyi anlatıyor, doğrulanmış bir saldırgan veya etkilenen kurulum sayısı bildirmiyor.[1]
Düzeltme birden fazla anahtar yolunu kapatıyor
Aynı sürüm notuna göre sunucuda tutulan anahtarlar artık Anthropic, OpenAI uyumlu hizmetler ve Gemini bağlantılarında istemcinin seçtiği adrese gönderilmiyor. Bu, AI Inspector gösterim sorunundan ayrı bir güven sınırı düzeltmesi: istemcinin belirlediği hedef, sunucudaki kimlik bilgilerini almamalı. Notlar, isteğe bağlı HTTP Basic kimlik doğrulamasında iki nokta ve UTF-8 içeren parolaların daha doğru işlenmesini ve sabit süreli karşılaştırmayı da anlatıyor. Bu değişiklikler, kullanıcılarla yöneticilerin saklanan kimlik bilgilerine farklı erişime sahip olduğu ortak veya kendi sunucusunda barındırılan hizmetlerde özellikle anlam taşıyor.[1]
Etkilenen kurulumların kapsamı açıklanmadı
Yayımlanan not, sunucuda Gemini anahtarı tanımlayan kurulumların sayısını, yetkisiz bir kişinin anahtarı görüp görmediğini veya anahtarların uygulamada istemcinin seçtiği adrese ulaşıp ulaşmadığını belirtmiyor. Bu nedenle belirli bir açığa çıkma yolunu ve geliştiricinin önerdiği yanıtı destekliyor; gerçekleşmiş sızmaların sayısını vermiyor. Big-AGI güvenlik bildirimleri için özel bir kanal da duyuruyor. Yönetici açısından yapılacak değerlendirme sınırlı: etkilenen sunucu ayarının kullanılıp kullanılmadığını denetlemek, düzeltilmiş sürümü kurmak ve açık istek görünümüne düşmüş olabilecek anahtarı yenilemek. Kanıt bütün Big-AGI kurulumlarının ele geçirildiğini söylemeye yetmiyor.[1]
