--- title: "LiteLLM tedarik zinciri saldırısı, Block Dessa ve iki küçük model" description: "LiteLLM tedarik zinciri saldırısı, iptal edilmeyen bir master key yüzünden başladı. Zararlı 1.107.0 sürümü PyPI'da iki saat kaldı. Dessa ve yeni modeller de gündemde." canonical_url: https://www.oguzhan.co/tr/litellm-tedarik-zinciri-saldirisi-block-dessa-nanbeige/ author: "Oğuzhan Koçaklı" author_url: https://www.oguzhan.co/tr/hakkimda/ date_published: 2026-10-26T06:57:38+00:00 date_modified: 2026-10-26T06:57:43+00:00 language: tr translations: en: https://www.oguzhan.co/litellm-supply-chain-attack-block-dessa-nanbeige/ --- # LiteLLM tedarik zinciri saldırısı, Block Dessa ve iki küçük model 21 Ekim günü PyPI üzerinde yaklaşık iki saat boyunca zararlı bir `litellm==1.107.0` paketi dağıtıldı. Ekibin 23 Ekim’de yayımladığı [kök neden analizine](https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain) göre LiteLLM tedarik zinciri saldırısı, Mayıs 2026’da iptal edilmek üzere işaretlenen ama hiç yenilenmeyen bir Agent Platform master key’inden patlak vermiş. Hafta sonu bu iki güvenlik raporunu, Block’un Dessa sayfasını, iki yeni Hugging Face kartını ve İsveç basınına yansıyan kamu engelini okudum. Dört haber de güven sınırını nereye çizdiğimize çıkıyor. ## 🔐 LiteLLM tedarik zinciri saldırısı iptal edilmeyen bir anahtarla başladı ![Açık raftaki anahtardan sızdıran kapıya, CI bandına ve sürüm kapısına, oradan yeşil pakete uzanan beş adımlı izometrik zincir](https://oguzhanco.s3.eu-west-3.amazonaws.com/wp-content/uploads/2026/10/26065733/litellm-attack-chain-forgotten-key-to-pypi.webp) *Beş adımda zincir: açık repoda unutulan anahtar, API’nin sızdırdığı token, CI dalları, gevşetilmiş sürüm kapısı ve PyPI’a düşen zehirli paketler.* LiteLLM, farklı LLM sağlayıcılarına çağrı yapmayı sağlayan popüler ve açık kaynaklı bir Python ağ geçidi. [İlk olay bildirimine](https://docs.litellm.ai/blog/security-incident-oct-21-2026) göre 21 Ekim’de 11:39:51 ile 11:40:13 UTC arasında PyPI’a yedi adet zararlı `litellm==1.107.0` wheel paketi yüklendi, 11:46:56 UTC’de ise Docker Hub ve GHCR imajları güncellendi. Paketler kimlik bilgilerini çalan ve uzaktan kod çalıştırma araçları indiren derlenmiş bir zararlı taşıyordu. PyPI paketi 13:23 UTC’de karantinaya aldı. Docker Hub’daki `v1.107.0`, `latest`, `main-latest` ve `main-stable` etiketleri 14:20 UTC’ye kadar yayında kaldı, GHCR etiketleri ise 13:51 UTC’de kapandı. Resmi GitHub v1.107.0 kaynak etiketinde zararlı dosya yoktu. Paketler asıl `BerriAI` yerine `Berri-AI/litellm` adlı taklit depodan derlenmişti. Güvenlik Direktörü Oliver Jensen ve Mateo Wang, 23 Ekim 21:00 UTC’de kök neden raporunu yayımladı. LiteLLM bu metni asıl doğruluk kaynağı sayıyor. 27 Mayıs 2026’da otomatik pull request açan self-hosted bulut ajanları için kullanılan deneysel Agent Platform servisinin master key’i, `opencode.json` dosyasıyla herkese açık `LiteLLM-Labs/lite-harness` deposuna girmiş. Commit force-push ile ezilmiş ve anahtar iptale işaretlenmiş ama hiç iptal edilmemiş. Saldırgan 10 Ekim’de bu anahtarla `GET /api/v1/managed_agents/agents?limit=100` isteği atıp bütün ajan ayarlarını çekmiş. İçlerinden birinde, iki GitHub organizasyon sahibinden birinin tam yetkili GitHub CLI OAuth token’ı duruyormuş. LiteLLM ekibi, bu token’ların 2FA sonrasında üretildiğini ve hassas işlemlerde GitHub’ın sudo tarzı yeniden doğrulamasını atladığını hatırlatıyor. Aynı gece geçici CI dalları depo sırlarını webhook.site adresine POST ederek iki bakımcı token’ı daha çıkarmış, kayıtlar dakikalar içinde silinmiş. 12 Ekim’de özel depolardan başka sırlar da sızdırılmış. 21 Ekim’de özel sürüm deposuna yapılan push önce branch protection duvarına takılmış. Beş saniye sonra sahip token’ı korumayı aşıp iş akışını taklit fork’a yönlendirmiş. İkinci bakımcının çalınan token’ı üretim kapısını onaylamış. Normalde bu kapı ofisteki fiziksel cihaza kilitli özel hesap isterken, hafta başında hızlı bugfix backport için kural gevşetilmiş ve herhangi iki mühendisin sürüm onaylamasına izin verilmiş. Ajan onay kapılarını [24 Ekim Claude Duet yazımda](https://www.oguzhan.co/tr/claude-duet-proaktif-agent-onay-sinirlar/) ele almıştım. Üçüncü token çalışma kayıtlarını silmiş, ardından `main` force-push ile temizlenmiş. Durumu LidorMachluf adlı kullanıcı 12:06 UTC’de açtığı #47826 kaydıyla bildirdi. LiteLLM yayından sonraki 20 dakika içinde haberdar olduklarını, müdahalenin 13:02 UTC’de başladığını söylüyor. Özel kayıt defterindeki kurumsal müşteriler etkilenmedi. Rapordaki cümle net: “Bu olay, açığa çıkmış olabilecek bir anahtarı yenilememenin risklerini güçlü biçimde gösterdi.” 21 Ekim notu iç kurulum loglarından şüphelenmişti, kök neden raporu ise ilk token’ın Agent Platform API’sinden çıktığını kesinleştiriyor. Olay bildirimine göre 21 Ekim 11:39 ile 13:23 UTC arasında sürüm sabitlemeden pip kurduysanız ya da 11:46 ile 14:20 UTC arasında o Docker etiketlerini çektiyseniz etkilendiniz. Temizlik için önce pip çalıştırmayın çünkü her Python açılışı `cook.pth` ve `sitecustomize.py` dosyalarını yeniden tetikliyor. - Python’ı açmadan kabuk üzerinden `cook.pth` ve `sitecustomize.py` dosyalarını silin. - `litellm==1.106.2` sürümüne sabitleyin ya da makineyi sıfırdan kurun. - Makinenin eriştiği tüm anahtarları yenileyin: proxy veritabanındaki sağlayıcı anahtarları, master ve sanal anahtarlar, `DATABASE_URL` parolası ve bulut rolü. ## 🎙️ Block’un Dessa modeli diğer sesli yapay zekalardan neden farklı? ![Açık gümüş bir dizüstü bilgisayarın üzerinde zıt yönlere akıp iç içe geçen mercan ve turkuaz ses dalgaları](https://oguzhanco.s3.eu-west-3.amazonaws.com/wp-content/uploads/2026/10/26065735/block-dessa-full-duplex-speech-laptop.webp) *Full-duplex, iki tarafın aynı anda konuşabilmesi demek. Block’a göre Dessa bunu M4 Max ya da üstü bir MacBook Pro’da yerel olarak yapıyor.* Block, 23 Ekim Cuma günü Dessa adını verdiği ses modelini duyurdu. [Tanıtım sayfası](https://block.xyz/dessa) modeli full-duplex speech-to-speech olarak tanımlıyor: ses giriyor, ses çıkıyor, dinlerken konuşabiliyor, sözünüzün arasına ne zaman gireceğini veya “evet”, “anladım” gibi kısa onayları ne zaman vereceğini biliyor. Block’a göre eğitim sıfırdan, hiçbir metin veya hazır model kullanılmadan yalnızca insan konuşmalarıyla yapılmış ve model dili LLM’lere göre yüzlerce kat az kelimeden öğrenmiş. Şirket kendi bildikleri kadarıyla bunun yalnızca konuşmadan eğitilen ilk gerçekçi canlı sohbet yapay zekası olduğunu söylüyor. Tek bir NVIDIA GB200 NVL72 üzerinde eğitilen model, MacBook Pro M4 Max veya üstü bir yerel makinede gerçek zamandan hızlı çalışıyor. Projeyi Block içinde doğrudan Jack Dorsey’ye bağlı çalışan, Toronto çıkışlı eski Dessa girişimi üyelerinin kurduğu ve Ragavan Thurairatnam’ın yönettiği küçük laboratuvar geliştirdi. Ortada henüz bir ürün, açık API veya open-weight paylaşımı yok. Block, öngöremedikleri riskler için modeli önce küçük bir AI safety grubuna açıyor. Ses klonlama ve dolandırıcılık çekinceleri bu temkinli başlangıcı açıklıyor. Block ayrıca metne çevrilen seste duygunun kaybolduğunu vurguluyor: “Ciddi bir acı içindeyken bir ses yapay zekasının bunun farkında olmamasını ve konuşmayı sürdürmesini düşünün.” Sayfada Dessa’nın OpenAI GPT-Live-1 ile konuştuğu bir klip de var. [The Verge](https://www.theverge.com/ai-artificial-intelligence/1017906/jack-dorsey-block-dessa-ai-voice-speech) 23 Ekim’de bazı sohbetleri “biraz tuhaf ve tekinsiz” bulduğunu, modelin bir konuşmacıyı “Ronaldo” sandığını yazdı. ## 🧩 Yerel ajanlar için iki küçük açık model: biri öğretmen, öteki cihaz içi Hafta sonu iki Hugging Face kartını da okudum, hedefledikleri makineler tamamen ayrı. [Nanbeige4.3-33B](https://huggingface.co/Nanbeige/Nanbeige4.3-33B), ekibin ileride çıkacak Nanbeige4.3-3B gibi küçük modellere beceri aktaracak asıl öğretmen modeli. Karta göre en yüksek thinking effort ve aynı harness ile Terminal-Bench 2.1’de 80.9 (Qwen3.8-27B 73.0, Muse-Glimmer-30B 61.8, Gemma4-31B 47.2) ve DeepSWE’de 65.5 (Qwen3.8-27B 42.5) alıyor. Her tabloyu kazanmıyor: SWE-Bench Pro 60.3 (Qwen3.8-27B 61.7), GDPval 84.8 (rakibi 86.4) ve GPQA Diamond 89.5 (Gemma4-31B 91.3). Karttaki SGLang ve vLLM örnekleri 4 yönlü tensor parallelism istediği için BF16 ağırlıklar dizüstü bilgisayar modeli sayılmaz, ancak topluluk GGUF sürümleri mevcut. Tek tüketici GPU’su için [22 Ekim özetindeki](https://www.oguzhan.co/tr/deepseek-deepinfer-eagle-4-muse-glimmer-yerel-model/) Muse Glimmer daha uygun. NVIDIA ise Gemma-4-E4B-it tabanından eğittiği [Nemotron 3.5 Bolt E4B](https://huggingface.co/nvidia/NVIDIA-Nemotron-3.5-Bolt-E4B-BF16) modelini 23 Ekim’de yayımladı. Metin alıp metin üreten modelde kısa yanıtlar için sohbet modu, çalışma anında thinking budget, 4GB Q4_K_M sürümü ve DFlash drafter var. Gemma 4 tabanı Apache 2.0 kalırken OpenMDW-1.1 ağırlıklar ticari kullanıma hazır. Karta göre Tau2-Bench skoru 55.10 (taban model 38.50), aynı tabloda Qwen3.5 4B ise 75.06 puanda. | | Nanbeige4.3-33B | Nemotron 3.5 Bolt E4B | | --- | --- | --- | | Parametre | 33B | 8B (etkin 4B) | | Lisans | Apache 2.0 | OpenMDW-1.1 | | Bağlam | 512K token | 64K giriş, 64K çıkış | | Hedef kullanım | Kodlama ve ofis ajanları | Yerel ses ve cihaz asistanları | | Öne çıkan iddia | Terminal-Bench 2.1: 80.9 | IFBench: 63.79 (taban Gemma 4 E4B: 42.84) | | Yayın tarihi | 24-25 Ekim (Hugging Face) | 23 Ekim (Hugging Face, build.nvidia.com) | ## 🇸🇪 İsveç hükümet ofisleri neden ChatGPT ve Claude’u engelledi? Bugün, 26 Ekim Pazartesi itibarıyla İsveç Hükümet Ofisleri (Regeringskansliet) iş bilgisayarlarında ChatGPT ve Claude web arayüzlerini kapattı. [SVT’nin](https://www.svt.se/nyheter/inrikes/ai-tjanster-sparras-pa-regeringskansliet) [Sveriges Radio Ekot’a](https://www.sverigesradio.se/artikel/chat-gpt-och-claude-forbjuder-regeringskansliet) dayandırarak 23 Ekim’de duyurduğu ve 24 Ekim’de güncellediği habere göre personel, güvenlik incelemesi sonrası onaylanan Microsoft Copilot’a yönlendiriliyor. Kurumun SVT’ye gönderdiği e-posta, ChatGPT ve Claude modellerinin içerideki Intric platformu üzerinden açık kaldığını doğruluyor. Benzer engeller daha önce Skatteverket ve Statens institutionsstyrelse (SiS) bünyesinde başlamıştı, Kronofogden de aynı adımı değerlendiriyor. Kapanan şey modelin kendisi yerine denetimsiz tarayıcı penceresi. LiteLLM çizelgesini okuduktan sonra ajan araçlarımın içinde hangi token’ların durduğunu listelemem gerektiğini fark ettim. Henüz o listeyi çıkarmadım. ## Kaynaklar - [LiteLLM kök neden raporu](https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain) - [LiteLLM ilk olay bildirimi](https://docs.litellm.ai/blog/security-incident-oct-21-2026) - [Block Dessa](https://block.xyz/dessa) - [The Verge](https://www.theverge.com/ai-artificial-intelligence/1017906/jack-dorsey-block-dessa-ai-voice-speech) - [Nanbeige4.3-33B](https://huggingface.co/Nanbeige/Nanbeige4.3-33B) - [Nemotron 3.5 Bolt E4B](https://huggingface.co/nvidia/NVIDIA-Nemotron-3.5-Bolt-E4B-BF16) - [SVT](https://www.svt.se/nyheter/inrikes/ai-tjanster-sparras-pa-regeringskansliet) - [Sveriges Radio](https://www.sverigesradio.se/artikel/chat-gpt-och-claude-forbjuder-regeringskansliet)