Dire qu'il s'agit d'exécuter un modèle local alors qu'une API cloud intégrée : les identifiants de l'assistant H3C Lingxi ont été exposés pendant 3 mois avant d'être révoqués

ME News Actualités, le 11 mai (UTC+8), selon la surveillance de Dongcha Beating, H3C (新华三) a révélé que « l’assistant AI Lingxi » exposait en clair de nombreux identifiants API de grands modèles dans le programme d’installation. Cet outil, qui se disait fonctionner sur un NPU local, avait en réalité codé en dur dans le fichier de configuration des clés valides pour plusieurs modèles cloud tels que Zhipu AI, Baidu Qianfan et ByteDance Volcano Engine. Les internautes ont découvert cette vulnérabilité fin janvier cette année et l’ont signalée à l’équipe de H3C, mais ce n’est qu’au début mai que l’entreprise a révoqué toutes les clés compromises. La période de traitement de trois mois est inhabituelle. Les experts pensent que cette réponse tardive pourrait être due au fait que plusieurs équipes internes de H3C utilisaient la même série d’identifiants API, ce qui empêchait l’entreprise de couper rapidement l’accès aux clés compromises avant d’avoir complètement vérifié et remplacé. Heureusement, cette produit a un public limité, ce qui a évité une utilisation massive par des hackers, sinon cela aurait entraîné des factures astronomiques. (Source : BlockBeats)