Jika syarikat anda mempunyai aplikasi AI, chatbot atau alat dalaman yang bersambung kepada model seperti GPT, Claude atau Gemini, tanya pasukan teknikal anda satu soalan hari ini: adakah mana-mana pelayan, komputer riba atau saluran binaan memasang LiteLLM versi 1.107.0 pada 21 Oktober 2026? Versi itu diterbitkan oleh penyerang dan berada di PyPI kira-kira dua jam, antara 14:39 dan 16:23 waktu Riyadh, dengan kira-kira 49,000 muat turun. Ia mencuri kunci awan, kunci penyedia AI, kata laluan pangkalan data dan kunci SSH. Jika jawapannya ya, menyahpasangnya tidak memadai: bina semula mesin daripada imej yang bersih dan tukar setiap kunci yang boleh dicapainya. Versi yang selamat ialah 1.106.2.

Apakah sebenarnya yang berlaku?

LiteLLM ialah pustaka dan get laluan sumber terbuka yang membolehkan satu aplikasi berhubung dengan berpuluh-puluh model AI melalui satu antara muka, sebab itu banyak syarikat meletakkannya di tengah-tengah produk AI mereka. Menurut Chainguard, ia dimuat turun lebih daripada 100 juta kali di PyPI dalam sebulan yang lalu, dan lebih daripada 2,000 pakej lain bergantung padanya, jadi banyak pasukan memasangnya tanpa disedari.

Menurut laporan insiden rasmi LiteLLM, penyerang memperoleh token akses GitHub yang terbocor ke dalam log projek. Pada 21 Oktober jam 10:08 UTC, mereka menggunakan kelayakan pembangun yang mempunyai keistimewaan untuk memintas perlindungan cabang dan mengubah aliran keluaran supaya dibina daripada repositori yang namanya hampir sama, «Berri-AI/litellm» dan bukannya «BerriAI/litellm». Pada jam 11:39 UTC fail berniat jahat tiba di PyPI, dan pada jam 11:46 UTC imej Docker yang tercemar diterbitkan dengan tag v1.107.0, latest, main-latest dan main-stable. PyPI membuang versi itu menjelang jam 13:23 UTC, dan tag Docker dibersihkan pada jam 14:20 UTC, iaitu 17:20 di Riyadh.

Ini serangan kedua terhadap projek yang sama tahun ini. Chainguard menyatakan bahawa pada Mac 2026 satu kumpulan menggunakan token PyPI yang dicuri untuk menerbitkan versi 1.82.7 dan 1.82.8.

Apakah yang dicuri oleh versi berniat jahat ini?

Bahayanya, ia tidak menunggu aplikasi anda menggunakan LiteLLM. Versi itu menambah fail permulaan Python yang berjalan setiap kali Python dimulakan pada mesin tersebut, walaupun untuk arahan yang tiada kaitan. Menurut analisis Wiz, pencuri ini mengumpul:

  • Kunci awan AWS, Google Cloud dan Azure daripada fail konfigurasi, pemboleh ubah persekitaran dan metadata pelayan.
  • Kunci API OpenAI, Anthropic, Cohere dan penyedia AI lain, iaitu bil dan data anda.
  • Kunci SSH peribadi, sejarah shell, serta kata laluan dan kuki yang disimpan dalam pelayar.
  • Sehingga 500 kelayakan penyedia yang disimpan dalam pangkalan data LiteLLM Proxy.

Penyerang tidak berlengah dengan hasil curian mereka. Wiz melihat kelayakan AWS yang dicuri diuji kira-kira 4.5 jam selepas dicuri, daripada pelayan binaan dan nod Kubernetes. Perisian hasad itu juga memasang peringkat kedua yang mengambil kod jauh setiap jam, jadi mesin kekal terbuka walaupun selepas pakej dibuang.

Adakah syarikat saya terjejas?

Kemungkinan besar tidak, jika pasukan anda menetapkan versi yang tepat dan tidak mengemas kini apa-apa antara 14:39 dan 17:20 waktu Riyadh pada 21 Oktober. Anda mungkin terjejas jika salah satu perkara berikut berlaku:

  • Pelayan atau bekas menjalankan «pip install litellm» tanpa versi tetap, atau menarik tag Docker «latest».
  • Saluran CI/CD membina semula pada petang itu.
  • Seorang pembangun mencuba LiteLLM pada komputer ribanya pada hari itu.
  • Sistem anda menggunakan pakej lain yang bergantung pada LiteLLM.

LiteLLM menyatakan bahawa pelanggan versi Enterprise persendiriannya tidak terjejas.

Lima langkah untuk hari ini

  • Cari: versi 1.107.0 dalam fail kunci, log binaan dan imej bekas, serta fail cook.pth dan sitecustomize.py dalam folder pakej Python.
  • Bina semula: jika anda menemuinya, jangan sekadar menyahpasang. Laporan rasmi memberi amaran bahawa menjalankan pip dalam persekitaran yang dijangkiti boleh mencetuskan perisian hasad semula. Bina semula mesin atau bekas daripada imej yang bersih.
  • Tukar semua kunci: kunci dan peranan awan, kunci penyedia AI, kata laluan pangkalan data dan kunci SSH yang boleh dicapai oleh mesin itu. Anggap semuanya sudah berada di tangan penyerang.
  • Semak log: periksa aktiviti awan sejak 21 Oktober untuk panggilan luar biasa seperti GetCallerIdentity, dan pantau bil penyedia AI anda untuk perbelanjaan yang anda tidak kenali.
  • Tetapkan versi: pasang litellm==1.106.2 atau pembaikan rasmi yang kemudian, dan tetapkan setiap pustaka dengan fail kunci dan bukannya menarik «latest» secara automatik.

Jika anda telah membaca artikel kami sebelum ini tentang kunci yang terlupa dalam kod ejen AI, pengajarannya sama dari sudut lain: kunci AI kini antara rahsia paling berharga syarikat anda, dan tempat kunci itu dikumpulkan menjadi sasaran.

Pandangan Origami

Tiada sesiapa yang menggodam kod LiteLLM itu sendiri. Penyerang mengubah cara ia dibina dan diterbitkan, jadi menyemak kod sumber sahaja tidak akan mengesannya. Sebab itu melindungi produk AI kurang bergantung pada pilihan pustaka dan lebih bergantung pada cara ia dikendalikan: versi yang ditetapkan, kunci berasingan untuk setiap persekitaran dengan kebenaran yang perlu sahaja, had perbelanjaan di setiap penyedia AI, dan rekod jelas tentang siapa boleh mencapai apa. Apabila kami di Origami membina sistem AI untuk syarikat, kami menganggap get laluan model sebagai bahagian paling sensitif dalam sistem, kerana ia memegang kunci kepada segala-galanya. Jika anda mahu aplikasi AI syarikat anda disemak berkaitan insiden ini, atau kunci dan kebenarannya disusun semula, hubungi kami.

Sumber