Атаку на ланцюг постачання LiteLLM пов'язали з викритим головним ключем

LiteLLM пов'язала атаку на ланцюг постачання, що почалася 21 жовтня 2026 року, з головним ключем, який випадково додали до публічного репозиторію GitHub у травні й так і не відкликали. Отруєну версію пакета 1.107.0 завантажили до PyPI та реєстрів контейнерів 21 жовтня 2026 року; вона містила інфостилер і троян віддаленого доступу. Її помістили в карантин менш ніж за дві години, але за цей час її завантажили близько 49 000 разів, за даними Wiz.

Викритий ключ відкрив доступ до GitHub

23 жовтня 2026 року LiteLLM опублікувала розбір інциденту, в якому описала ланцюг атаки й простежила його до 27 травня 2026 року, коли конфігураційний файл із головним ключем додали до публічного репозиторію LiteLLM-Labs/lite-harness. Ключ належав інструменту з відкритим кодом, який LiteLLM використовує внутрішньо для оркестрації AI-агентів. Розробники швидко помітили помилку й видалили викритий коміт, але не відкликали головний ключ. 10 жовтня 2026 року зловмисник використав цей ключ, щоб отримати доступ до LiteLLM Agent Platform, і витягнув токен GitHub CLI OAuth. Це дало йому доступ рівня власника до всіх репозиторіїв LiteLLM на GitHub. Токени GitHub CLI є post-2fa, тобто не запускають потоки автентифікації в режимі sudo на GitHub, які зазвичай потрібні для дій із високим впливом на репозиторії. Токен дозволив вносити шкідливі коміти в гілки інших внутрішніх репозиторіїв, зокрема у робочі процеси CI, призначені для викрадення токенів і секретів, доступних під час збирання. Цей доступ, своєю чергою, дав змогу викрасти токени GitHub CLI OAuth двох інженерів із правами супровідників, а також токени кількох інших внутрішніх систем. Аналіз активності зловмисника в цих системах показав спроби виявити й винести додаткові ключі та токени, передусім токени API для інференсу в апстрім-сервісах.

Отруєний пакет викрав облікові дані

Версія 1.107.0 містила інфостилер і троян віддаленого доступу, здатні виконувати довільний код на заражених машинах. Інфостилери мали збирати облікові дані та cookie браузерів Chrome, Firefox, Edge і Safari, а також облікові дані AWS, ключі сервісних акаунтів Google Cloud Platform і стандартні облікові дані застосунків та токени Microsoft Azure. Вони також викрали API-ключі OpenAI, Anthropic, Cohere та інших провайдерів LLM. Якщо ви встановили й запустили версію 1.107.0, вважайте, що будь-які облікові дані, доступні ураженій системі, могли бути викрадені.

Реагування та поради

Розробники LiteLLM відкликають усі токени, пов'язані з кожною внутрішньою системою та кожною платформою постачальника. Вони написали, що інцидент став наочним прикладом ризиків, пов'язаних із тим, що потенційно викритий ключ не ротували. Тим, хто запускав версію 1.107.0, слід дослідити уражені системи, змінити паролі й ротувати викриті ключі.

Джерела: The Register