Wenn Ihr Unternehmen eine KI-Anwendung, einen Chatbot oder ein internes Tool betreibt, das sich mit Modellen wie GPT, Claude oder Gemini verbindet, stellen Sie Ihrem Technikteam heute eine einzige Frage: Hat irgendein Server, Laptop oder eine Build-Pipeline am 21. Oktober 2026 LiteLLM in Version 1.107.0 installiert? Diese Version wurde von Angreifern veröffentlicht und war rund zwei Stunden auf PyPI, zwischen 14:39 und 16:23 Uhr Riad-Zeit, mit etwa 49.000 Downloads. Sie stiehlt Cloud-Schlüssel, Schlüssel von KI-Anbietern, Datenbankpasswörter und SSH-Schlüssel. Lautet die Antwort ja, reicht Deinstallieren nicht: Bauen Sie die Maschine aus einem sauberen Image neu auf und tauschen Sie jeden Schlüssel, auf den sie zugreifen konnte. Die sichere Version ist 1.106.2.

Was ist genau passiert?

LiteLLM ist eine Open-Source-Bibliothek und ein Gateway, über das eine einzige Anwendung mit Dutzenden KI-Modellen über eine gemeinsame Schnittstelle sprechen kann. Deshalb stellen viele Unternehmen es ins Zentrum ihrer KI-Produkte. Laut Chainguard hatte es im letzten Monat mehr als 100 Millionen Downloads auf PyPI, und mehr als 2.000 andere Pakete hängen davon ab, sodass viele Teams es installieren, ohne es zu wissen.

Laut dem offiziellen Vorfallbericht von LiteLLM erbeuteten die Angreifer GitHub-Zugangstoken, die in die Logs des Projekts gelangt waren. Am 21. Oktober um 10:08 UTC nutzten sie ein privilegiertes Entwicklerkonto, um den Branch-Schutz zu umgehen und den Veröffentlichungsablauf so zu ändern, dass er aus einem Repository mit ähnlichem Namen baute: «Berri-AI/litellm» statt «BerriAI/litellm». Um 11:39 UTC landeten die schädlichen Dateien auf PyPI, und um 11:46 UTC gingen verseuchte Docker-Images unter den Tags v1.107.0, latest, main-latest und main-stable hinaus. PyPI entfernte die Version bis 13:23 UTC, und die Docker-Tags wurden um 14:20 UTC bereinigt, also um 17:20 Uhr in Riad.

Es ist der zweite Angriff auf dasselbe Projekt in diesem Jahr. Chainguard weist darauf hin, dass eine Gruppe im März 2026 mit einem gestohlenen PyPI-Token die Versionen 1.82.7 und 1.82.8 veröffentlichte.

Was stiehlt die schädliche Version?

Gefährlich ist, dass sie nicht darauf wartet, dass Ihre Anwendung LiteLLM nutzt. Die Version fügte Python-Startdateien hinzu, die bei jedem Start von Python auf dieser Maschine laufen, selbst bei einem Befehl ohne jeden Bezug. Laut der Analyse von Wiz sammelte der Dieb:

  • Cloud-Schlüssel für AWS, Google Cloud und Azure aus Konfigurationsdateien, Umgebungsvariablen und Server-Metadaten.
  • API-Schlüssel von OpenAI, Anthropic, Cohere und anderen KI-Anbietern, also Ihre Rechnung und Ihre Daten.
  • Private SSH-Schlüssel, die Shell-Historie sowie in Browsern gespeicherte Passwörter und Cookies.
  • Bis zu 500 Anbieter-Zugangsdaten aus der Datenbank von LiteLLM Proxy.

Die Angreifer saßen nicht auf ihrer Beute. Wiz beobachtete, wie gestohlene AWS-Zugangsdaten etwa 4,5 Stunden nach dem Diebstahl getestet wurden, von Build-Servern und Kubernetes-Knoten aus. Die Schadsoftware installierte außerdem eine zweite Stufe, die stündlich Fernbefehle abruft, sodass die Maschine offen bleibt, selbst nachdem das Paket entfernt wurde.

Ist mein Unternehmen betroffen?

Wahrscheinlich nicht, wenn Ihr Team exakte Versionen festlegt und am 21. Oktober zwischen 14:39 und 17:20 Uhr Riad-Zeit nichts aktualisiert hat. Betroffen sein können Sie, wenn einer der folgenden Fälle zutrifft:

  • Ein Server oder Container führt «pip install litellm» ohne feste Version aus oder zieht das Docker-Tag «latest».
  • Eine CI/CD-Pipeline hat an jenem Nachmittag neu gebaut.
  • Ein Entwickler hat LiteLLM an diesem Tag auf seinem Laptop ausprobiert.
  • Ihr System nutzt ein anderes Paket, das von LiteLLM abhängt.

LiteLLM erklärt, dass Kunden seiner privaten Enterprise-Version nicht betroffen waren.

Fünf Schritte für heute

  • Suchen: nach Version 1.107.0 in Lock-Dateien, Build-Logs und Container-Images sowie nach den Dateien cook.pth und sitecustomize.py im Python-Paketordner.
  • Neu aufbauen: Wenn Sie fündig werden, genügt Deinstallieren nicht. Der offizielle Bericht warnt, dass pip in einer infizierten Umgebung die Schadsoftware erneut auslösen kann. Bauen Sie die Maschine oder den Container aus einem sauberen Image neu auf.
  • Alle Schlüssel tauschen: Cloud-Schlüssel und Rollen, Schlüssel von KI-Anbietern, Datenbankpasswörter und SSH-Schlüssel, die die Maschine erreichen konnte. Gehen Sie davon aus, dass sie bereits in den Händen der Angreifer sind.
  • Logs prüfen: Kontrollieren Sie die Cloud-Aktivität seit dem 21. Oktober auf ungewöhnliche Aufrufe wie GetCallerIdentity, und beobachten Sie die Rechnung Ihres KI-Anbieters auf Ausgaben, die Sie nicht kennen.
  • Versionen festlegen: Installieren Sie litellm==1.106.2 oder einen späteren offiziellen Fix, und legen Sie jede Bibliothek per Lock-Datei fest, statt automatisch «latest» zu ziehen.

Wenn Sie unseren früheren Artikel über vergessene Schlüssel im Code von KI-Agenten gelesen haben, ist die Lehre dieselbe aus einem anderen Blickwinkel: KI-Schlüssel gehören heute zu den wertvollsten Geheimnissen Ihres Unternehmens, und der Ort, an dem sie gebündelt sind, wird zum Ziel.

Die Sicht von Origami

Niemand hat hier den Code von LiteLLM selbst gehackt. Die Angreifer veränderten die Art, wie er gebaut und veröffentlicht wird, sodass eine reine Prüfung des Quellcodes nichts gefunden hätte. Deshalb hängt der Schutz von KI-Produkten weniger von der Wahl der Bibliothek ab als von ihrem Betrieb: feste Versionen, ein eigener Schlüssel für jede Umgebung mit nur den nötigen Rechten, Ausgabenlimits bei jedem KI-Anbieter und eine klare Übersicht, wer worauf zugreift. Wenn wir bei Origami KI-Systeme für Unternehmen bauen, behandeln wir das Modell-Gateway als den sensibelsten Teil des Systems, weil es die Schlüssel zu allem hält. Wenn Sie Ihre KI-Anwendung auf diesen Vorfall prüfen oder ihre Schlüssel und Rechte neu ordnen lassen möchten, kontaktieren Sie uns.

Quellen