LiteLLMの配布物に情報窃取プログラム―開発者の認証情報から公開工程を侵害

複数のAIサービスへの接続を仲介するLiteLLMで、2026年10月21日に配布された1.107.0への不正プログラム混入が判明しました。開発元は悪意あるDockerイメージを撤去し、通常のリリースを停止。PyPIの該当パッケージも取り下げられています。

StepSecurityの解析によると、対象のwheel形式パッケージとDockerイメージには、Python起動時に情報を盗む処理が含まれていました。LiteLLMを読み込まなくても動き、クラウドやAIサービスのキー、SSH鍵などを狙います。外部から追加コードを取得・実行する仕組みも確認されています。

開発元は、3人分のGitHub CLI認証情報が悪用されたと報告しました。組織所有者の権限でブランチ保護を解除され、公開用の処理が変更されたと説明しています。その結果、正規リポジトリに似せた別リポジトリから、不正な配布物が署名・公開されました。

開発元は、外部公開された社内LiteLLMのログから認証情報が取得されたとみています。特定条件でClaude Codeの応答にトークンが含まれ、それが記録される場合を確認したという説明です。ただし、社内環境への最初の侵入経路は未確定で、修正済み脆弱性の悪用を疑って調査しています。

利用者は実際に取得したバージョンやイメージを確認し、該当環境を隔離する必要があります。研究者は、安全な環境から認証情報を失効・再発行し、環境を作り直す対応を推奨しています。感染した環境ではpipの起動も不正処理を再実行するおそれがあり、単に更新し直すだけでは不十分です。