- LiteLLM於10月21日在PyPI及其容器註冊表發布遭入侵的1.107.0版本。
- 攻擊者啟動預發布工作流程，將來源設定為外觀相似的Berri-AI/litellm儲存庫及提交20535d8f。
- 流水線從分支提交構建並簽署發布1.107.0版本。
LiteLLM表示，其發布流水線於10月21日向PyPI及容器註冊表發布了遭入侵的litellm==1.107.0。
惡意套件放置的檔案會在Python解譯器啟動時執行。該惡意軟件針對OpenAI、Anthropic、Cohere及其他LLM供應商的API密鑰。
LiteLLM是由BerriAI開發的開源LLM閘道，為不同模型供應商提供兼容OpenAI的API。公司於10月23日發布披露。
暴露的Agent Platform密鑰導致儲存庫被控制
2026年5月27日，提交至公開LiteLLM-Labs/lite-harness儲存庫的配置檔案無意中含有LiteLLM Agent Platform部署的主密鑰。
10月10日，攻擊者利用該密鑰存取Agent Platform並抽取GitHub CLI OAuth令牌。該令牌提供所有LiteLLM GitHub儲存庫的擁有者級別存取權。
其後，攻擊者的工作流程將6個儲存庫密鑰發送至攻擊者控制的webhook.site端點。
攻擊者更改構建流程並簽署發布版本
攻擊者停用分支保護，然後利用擁有者令牌強制推送。
攻擊者啟動預發布工作流程，將來源設定為外觀相似的Berri-AI/litellm儲存庫及提交20535d8f。流水線其後簽署並發布從分支提交構建的1.107.0版本。
套件及Docker標籤僅在有限時段可供使用
LiteLLM表示，惡意PyPI套件運作約兩小時，由世界協調時間11:39至13:23。其遭入侵的Docker映像則由世界協調時間11:46至14:20可供使用。
Wiz表示，ClickPy數據顯示惡意版本約有49,000次下載。該公司觀察到攻擊者利用sts:GetCallerIdentity檢查AWS憑證，然後列舉人工智能模型；該公司形容有關活動符合LLMjacking特徵。
LiteLLM建議受影響用戶將安裝版本鎖定至1.106.2或另一個明確發布的較早版本，並從受影響的site-packages目錄刪除惡意軟件檔案。
公司亦建議用戶輪換主機可存取的所有項目，尤其是實例／任務IAM角色。
防守方現在要做甚麼
- 輪換以上列出的、主機可存取的所有項目。尤其是：實例／工作任務IAM角色。
常見問題
LiteLLM 1.107.0發生了甚麼事？
LiteLLM表示，其發布流水線於10月21日向PyPI及容器註冊表發布了遭入侵的litellm==1.107.0。
哪些LiteLLM版本及映像受影響？
受影響的PyPI發布版本為litellm==1.107.0。遭入侵的Docker標籤為v1.107.0、latest、main-latest及main-stable。
LiteLLM惡意軟件做了甚麼？
它將cook.pth、cook.py及sitecustomize.py解壓至site-packages根目錄，這些檔案設計為在Python解譯器啟動時執行。惡意軟件針對OpenAI、Anthropic、Cohere及其他LLM供應商的API密鑰。
攻擊者如何接觸LiteLLM的發布流水線？
5月27日提交的配置檔案無意中含有LiteLLM Agent Platform部署的主密鑰。攻擊者於10月10日利用該密鑰抽取GitHub CLI OAuth令牌，從而取得LiteLLM GitHub所有儲存庫的擁有者級別存取權。
受影響的LiteLLM用戶應如何應對？
LiteLLM建議用戶將版本鎖定至1.106.2或之前發布的任何明確版本，刪除列出的惡意軟件檔案，並輪換主機可存取的所有項目，尤其是實例／任務IAM角色。
來源
- LiteLLM Compromised, Steals Credentials | Wiz Blog, Wiz原始文件
- The attack chain behind the v1.107.0 LiteLLM release | liteLLM, LiteLLM原始文件
- Contained: Oct 21, 2026 LiteLLM release v1.107.0 Compromised | liteLLM, LiteLLM原始文件
- LiteLLM hit by second supply chain attack this year, users urged to rotate credentials, Help Net Security
- LiteLLM, Wikipedia
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| LiteLLM於10月21日在PyPI及其容器註冊表發布遭入侵的1.107.0版本。 | LiteLLM | 已證實 |
| 攻擊者於10月10日利用暴露的密鑰存取Agent Platform並抽取GitHub CLI OAuth令牌。 | LiteLLM | 已證實 |
| 攻擊者透過抽取的令牌取得所有LiteLLM GitHub儲存庫的擁有者級別存取權。 | LiteLLM | 已證實 |
| Wiz表示，惡意LiteLLM套件約被下載49,000次。 | Wiz | 引述 |
| 惡意套件抽取檔案，在Python解譯器每次啟動時執行。 | Wiz | 已證實 |
| Wiz觀察到攻擊者驗證被竊取的AWS憑證並列舉人工智能模型，有關活動符合LLMjacking特徵。 | Wiz | 已證實 |
| 遭入侵的PyPI套件約兩小時仍可供使用，由世界協調時間11:39至13:23。 | LiteLLM | 已證實 |
| LiteLLM遭入侵的Docker標籤由世界協調時間11:46至14:20可供使用。 | LiteLLM | 已證實 |
| LiteLLM建議受影響用戶從每個受影響的site-packages目錄刪除惡意軟件檔案。 | LiteLLM | 已證實 |
| Help Net Security報道，LiteLLM 1.107.0在PyPI及Docker遭入侵，惡意軟件竊取雲端登入資料、開發人員密碼及人工智能密鑰。 | Help Net Security | 引述 |
| LiteLLM是由BerriAI開發的開源LLM閘道，為不同模型供應商提供兼容OpenAI的API。 | Wikipedia | 已證實 |
| wiz.io於2026年10月21日發布報告。 | wiz.io | 已證實 |
| docs.litellm.ai於2026年10月23日發布報告。 | docs.litellm.ai | 已證實 |
| docs.litellm.ai於2026年10月21日發布報告。 | docs.litellm.ai | 已證實 |
未能核實
- 攻擊者是否成功存取或濫用每項被竊取的憑證，尚未確定。
- 受影響的機構數目尚未確定。
- LiteLLM內部部署中疑似存在的漏洞是否促成初始存取，尚未確定。
- 惡意發布是否導致任何已確認的客戶入侵，尚未確定。
