Безопасность 23 октября 2026, 10:39 МСК

Релиз LiteLLM 1.107.0 в PyPI оказался скомпрометирован и крал секреты

21 октября разработчики LiteLLM сообщили, что все семь wheel-пакетов версии 1.107.0 содержали похититель секретов и загрузчик удалённого кода.

Версия была доступна в PyPI с 11:39 до 13:23 UTC, пострадали также контейнеры в Docker Hub и GHCR. Официальный Git-тег остался чистым, а заражённые артефакты собрал и подписал штатный процесс сборки. По предварительной версии команды, атакующий получил GitHub CLI-токены из логов внутреннего интернет-доступного сервиса, отключил защиту ветки и перенаправил сборку на подставной репозиторий Berri-AI/litellm.

Вредонос запускался при старте Python, даже если приложение не использовало LiteLLM: через файл cook.pth и sitecustomize.py. Он запускал фоновый процесс, который раз в час получал адрес сервера и загружал код. Целями были SSH-ключи, облачные токены, секреты CI/CD и ИИ-инструментов, а при доступе к базе прокси — ключи LLM-провайдеров.

Удаление пакета не останавливает запущенный процесс и не отзывает украденные ключи. Нужно изолировать среду, остановить процесс, пересоздать окружения и отозвать секреты; начинать с pip show опасно, так как он запускает интерпретатор. Разработчики советуют закрепить версию 1.106.2. Автор материала (CodeScoring) подчёркивает, что имя библиотеки, подпись и чистый тег не заменяют проверку содержимого артефакта.

• Версия 1.107.0 была в PyPI с 11:39 до 13:23 UTC 21 октября
• Рекомендованная версия — 1.106.2
• Удаление пакета не отзывает украденные секреты