LiteLLMのリリース経路が10月21日に侵害され、認証情報などを盗むマルウェアを含むv1.107.0がPyPIとコンテナレジストリで公開されました。PyPI版は約2時間、複数のDockerイメージは最大で約2時間半、侵害された状態で配布されていました。影響した環境では、Pythonの起動時に不正コードが実行される仕組みが組み込まれていました。
PyPIとコンテナの配布物が影響
LiteLLMは、複数のAIモデル提供元を共通のAPIで利用するためのPython SDK兼AIゲートウェイです。侵害されたPyPI配布物はバージョン1.107.0の全7種類のホイールで、10月21日11時39分51秒から13時23分（いずれもUTC）まで公開されました。
Docker Hubではv1.107.0、latest、main-latest、main-stableの各タグが、11時46分56秒から14時20分まで侵害されたイメージを指していました。GitHub Container Registry（GHCR）でも同じタグが影響し、侵害されたイメージは13時51分までに利用できなくなりました。
対象は、影響期間中に該当バージョンをインストールした環境や、該当するコンテナイメージを起動した環境です。LiteLLMは、以前のバージョンと非公開のEnterprise版は影響を受けていないとしています。
Python起動時にアプリより先に実行
攻撃者はLiteLLM本体のソースコードではなく、インストール用パッケージに不正ファイルを追加しました。Pythonの.pthファイルは起動時に読み込まれ、importで始まる行があれば、そのコードが実行されます。
Pythonはパス設定を処理した後、sitecustomizeというモジュールの読み込みを試みます。このモジュールは通常、Pythonが利用者のコードへ制御を渡す前に読み込まれるため、起動ファイルに仕込まれたコードはアプリの起動前に実行されます。
今回のパッケージにはcook.pth、cook.py、sitecustomize.pyが含まれていました。侵害環境で調査のためにPythonやpipを起動した場合も、不正コードが再び実行される可能性がありました。
認証情報や秘密鍵を窃取
マルウェアは、AWS、Azure、Google Cloud、Kubernetesなどの認証情報に加え、LiteLLMに保存されたプロバイダー認証情報やモデル設定を対象としていました。.envファイル、GitHubやnpm、PyPI、CI/CDの認証情報、SSH・GPG・TLS鍵も窃取対象に含まれます。
ブラウザーの保存済みログイン情報やCookie、入力履歴のほか、環境変数、シェルやアプリの履歴、システム・ネットワーク情報も対象でした。窃取データは暗号化され、litellm[.]dev/healthcheckへ送信される仕組みでした。
さらに、sitecustomize.pyは独立したローダーを起動し、1時間ごとにGitHub上の参照先を確認して外部サーバーからPythonを取得し、実行する機能を持っていました。影響環境で一度でもv1.107.0を起動した場合、LiteLLMは外部通信が可能なホストでは情報流出を前提に対応するよう案内しています。
3月の侵害とは異なる侵入経路
LiteLLMでは2026年3月にもPyPI配布物の侵害があり、対象は1.82.7と1.82.8でした。LiteLLMは当時、CI/CDのセキュリティスキャンに使っていたTrivyの依存関係から侵害が始まった可能性があると説明していました。
3月の1.82.7ではアプリケーションのproxy_server.pyに、1.82.8では.pthファイルなどに不正な処理が含まれていました。今回の攻撃では、公式のv1.107.0ソースタグに不正ファイルはなく、攻撃者が管理する類似リポジトリを使って配布物を作成していました。
今回の侵害経路についてLiteLLMは、社内環境に置かれたGitHub CLIのOAuthトークンがログに残り、攻撃者が取得した可能性を挙げています。侵害者は権限のある認証情報でブランチ保護を解除し、リリース用ワークフローの参照先を類似リポジトリに変えて、悪意ある成果物を公開しました。
影響環境の隔離と認証情報の更新
LiteLLMは、影響を受けた環境でPythonやpipを起動せず、侵害されたデプロイを停止するよう案内しています。安全なバックアップから環境を再構築し、外部からアクセス可能だったホストでは、到達可能だった認証情報や秘密鍵を直ちに更新するよう求めています。
影響環境では、cook.pth、cook.py、sitecustomize.pyなどが調査対象になります。ファイルの削除だけでなく、稼働中のローダーや流出した認証情報への対処も必要です。
LiteLLMが案内した復旧先は、侵害前のクリーンなリリースであるv1.106.2です。影響を受けた環境では、この版に固定し、環境をクリーンな状態から作り直すようLiteLLMは案内しています。
