अगर आपकी कंपनी के पास कोई AI ऐप्लिकेशन, चैटबॉट या आंतरिक टूल है जो GPT, Claude या Gemini जैसे मॉडलों से जुड़ता है, तो आज अपनी तकनीकी टीम से एक ही सवाल पूछें: क्या 21 अक्टूबर 2026 को किसी सर्वर, लैपटॉप या बिल्ड पाइपलाइन ने LiteLLM का संस्करण 1.107.0 इंस्टॉल किया था? यह संस्करण हमलावरों ने प्रकाशित किया था और रियाद समय के अनुसार 14:39 से 16:23 तक लगभग दो घंटे PyPI पर रहा, और इसे लगभग 49,000 बार डाउनलोड किया गया। यह क्लाउड कुंजियाँ, AI प्रदाताओं की कुंजियाँ, डेटाबेस पासवर्ड और SSH कुंजियाँ चुराता है। अगर जवाब हाँ है, तो इसे अनइंस्टॉल करना काफ़ी नहीं: मशीन को साफ़ इमेज से दोबारा बनाएँ और हर वह कुंजी बदलें जिस तक उसकी पहुँच थी। सुरक्षित संस्करण 1.106.2 है।

असल में क्या हुआ?

LiteLLM एक ओपन-सोर्स लाइब्रेरी और गेटवे है जो एक ही ऐप्लिकेशन को एक ही इंटरफ़ेस के ज़रिए दर्जनों AI मॉडलों से बात करने देता है, इसीलिए कई कंपनियाँ इसे अपने AI उत्पादों के केंद्र में रखती हैं। Chainguard के अनुसार पिछले महीने PyPI पर इसके 100 मिलियन से ज़्यादा डाउनलोड हुए, और 2,000 से ज़्यादा दूसरे पैकेज इस पर निर्भर हैं, इसलिए कई टीमें इसे बिना जाने इंस्टॉल कर लेती हैं।

LiteLLM की आधिकारिक घटना रिपोर्ट के अनुसार हमलावरों ने वे GitHub एक्सेस टोकन हासिल कर लिए जो प्रोजेक्ट के लॉग में लीक हो गए थे। 21 अक्टूबर को UTC 10:08 पर उन्होंने एक विशेषाधिकार वाले डेवलपर क्रेडेंशियल से ब्रांच सुरक्षा को दरकिनार किया और रिलीज़ प्रक्रिया को बदल दिया ताकि वह मिलते-जुलते नाम वाली रिपॉज़िटरी से बने: «BerriAI/litellm» की जगह «Berri-AI/litellm»। UTC 11:39 पर दुर्भावनापूर्ण फ़ाइलें PyPI पर पहुँचीं, और UTC 11:46 पर v1.107.0, latest, main-latest और main-stable टैग वाली दूषित Docker इमेज जारी हुईं। PyPI ने UTC 13:23 तक संस्करण हटा दिया, और Docker टैग UTC 14:20 पर साफ़ किए गए, यानी रियाद में 17:20 बजे।

यह इस साल इसी प्रोजेक्ट पर दूसरा हमला है। Chainguard बताता है कि मार्च 2026 में एक समूह ने चुराए गए PyPI टोकन से संस्करण 1.82.7 और 1.82.8 प्रकाशित किए थे।

दुर्भावनापूर्ण संस्करण क्या चुराता है?

ख़तरनाक बात यह है कि यह आपके ऐप्लिकेशन के LiteLLM इस्तेमाल करने का इंतज़ार नहीं करता। इस संस्करण ने Python स्टार्टअप फ़ाइलें जोड़ीं जो उस मशीन पर हर बार Python शुरू होने पर चलती हैं, चाहे कमांड का इससे कोई संबंध न हो। Wiz के विश्लेषण के अनुसार चोर प्रोग्राम ने ये चीज़ें इकट्ठा कीं:

  • कॉन्फ़िगरेशन फ़ाइलों, एनवायरनमेंट वेरिएबल और सर्वर मेटाडेटा से AWS, Google Cloud और Azure की क्लाउड कुंजियाँ।
  • OpenAI, Anthropic, Cohere और दूसरे AI प्रदाताओं की API कुंजियाँ, यानी आपका बिल और आपका डेटा।
  • निजी SSH कुंजियाँ, शेल हिस्ट्री, और ब्राउज़र में सेव किए गए पासवर्ड और कुकीज़।
  • LiteLLM Proxy डेटाबेस में रखे गए अधिकतम 500 प्रदाता क्रेडेंशियल।

हमलावर चुराए गए माल पर बैठे नहीं रहे। Wiz ने देखा कि चोरी के लगभग 4.5 घंटे बाद बिल्ड सर्वरों और Kubernetes नोड्स से चुराए गए AWS क्रेडेंशियल आज़माए जा रहे थे। मैलवेयर ने एक दूसरा चरण भी इंस्टॉल किया जो हर घंटे रिमोट कोड लाता है, इसलिए पैकेज हटाने के बाद भी मशीन खुली रहती है।

क्या मेरी कंपनी प्रभावित है?

अगर आपकी टीम सटीक संस्करण पिन करती है और 21 अक्टूबर को रियाद समय के अनुसार 14:39 से 17:20 के बीच कुछ भी अपडेट नहीं किया, तो आप शायद प्रभावित नहीं हैं। अगर इनमें से कोई भी बात लागू होती है तो आप प्रभावित हो सकते हैं:

  • कोई सर्वर या कंटेनर बिना तय संस्करण के «pip install litellm» चलाता है, या Docker का «latest» टैग खींचता है।
  • किसी CI/CD पाइपलाइन ने उस दोपहर दोबारा बिल्ड किया।
  • किसी डेवलपर ने उस दिन अपने लैपटॉप पर LiteLLM आज़माया।
  • आपका सिस्टम कोई ऐसा दूसरा पैकेज इस्तेमाल करता है जो LiteLLM पर निर्भर है।

LiteLLM का कहना है कि उसके निजी Enterprise संस्करण के ग्राहक प्रभावित नहीं हुए।

आज उठाने वाले पाँच क़दम

  • खोजें: लॉक फ़ाइलों, बिल्ड लॉग और कंटेनर इमेज में संस्करण 1.107.0, और Python पैकेज फ़ोल्डर में cook.pth और sitecustomize.py फ़ाइलें।
  • दोबारा बनाएँ: अगर यह मिले तो सिर्फ़ अनइंस्टॉल करके न रुकें। आधिकारिक रिपोर्ट चेतावनी देती है कि संक्रमित वातावरण में pip चलाने से मैलवेयर फिर से सक्रिय हो सकता है। मशीन या कंटेनर को साफ़ इमेज से दोबारा बनाएँ।
  • सभी कुंजियाँ बदलें: क्लाउड कुंजियाँ और भूमिकाएँ, AI प्रदाताओं की कुंजियाँ, डेटाबेस पासवर्ड और SSH कुंजियाँ जिन तक मशीन पहुँच सकती थी। मान कर चलें कि वे पहले ही हमलावरों के हाथ में हैं।
  • लॉग की समीक्षा करें: 21 अक्टूबर से क्लाउड गतिविधि में GetCallerIdentity जैसी असामान्य कॉल देखें, और अपने AI प्रदाता के बिल पर ऐसे ख़र्च पर नज़र रखें जिसे आप नहीं पहचानते।
  • संस्करण पिन करें: litellm==1.106.2 या बाद का कोई आधिकारिक सुधार इंस्टॉल करें, और «latest» अपने-आप खींचने के बजाय हर लाइब्रेरी को लॉक फ़ाइल से पिन करें।

अगर आपने AI एजेंटों के कोड में भूली गई कुंजियों पर हमारा पिछला लेख पढ़ा है, तो सबक़ वही है, बस दूसरे कोण से: AI कुंजियाँ अब आपकी कंपनी के सबसे क़ीमती रहस्यों में हैं, और जहाँ वे इकट्ठा होती हैं वह जगह निशाना बन जाती है।

Origami की राय

यहाँ किसी ने LiteLLM का कोड ख़ुद हैक नहीं किया। हमलावरों ने उसके बनने और प्रकाशित होने का तरीक़ा बदला, इसलिए सिर्फ़ सोर्स कोड की समीक्षा से यह पकड़ में नहीं आता। इसीलिए AI उत्पादों की सुरक्षा लाइब्रेरी चुनने से ज़्यादा इस बात पर निर्भर करती है कि आप उसे कैसे चलाते हैं: तय संस्करण, हर वातावरण के लिए सिर्फ़ ज़रूरी अनुमतियों वाली अलग कुंजी, हर AI प्रदाता पर ख़र्च की सीमा, और इसका साफ़ रिकॉर्ड कि कौन किस तक पहुँच सकता है। Origami में जब हम कंपनियों के लिए AI सिस्टम बनाते हैं, तो मॉडल गेटवे को सिस्टम का सबसे संवेदनशील हिस्सा मानते हैं, क्योंकि उसके पास हर चीज़ की कुंजियाँ होती हैं। अगर आप इस घटना के संदर्भ में अपने AI ऐप्लिकेशन की जाँच करवाना चाहते हैं, या उसकी कुंजियाँ और अनुमतियाँ फिर से व्यवस्थित करना चाहते हैं, तो हमसे संपर्क करें।

स्रोत