Şirketinizin GPT, Claude veya Gemini gibi modellere bağlanan bir yapay zekâ uygulaması, sohbet botu ya da iç aracı varsa, bugün teknik ekibinize tek bir soru sorun: Herhangi bir sunucu, dizüstü bilgisayar veya derleme hattı 21 Ekim 2026'da LiteLLM'in 1.107.0 sürümünü kurdu mu? Bu sürüm saldırganlar tarafından yayımlandı ve Riyad saatiyle 14:39 ile 16:23 arasında yaklaşık iki saat PyPI'da kaldı, yaklaşık 49.000 kez indirildi. Bulut anahtarlarını, yapay zekâ sağlayıcılarının anahtarlarını, veritabanı parolalarını ve SSH anahtarlarını çalıyor. Cevap evetse kaldırmak yetmez: Makineyi temiz bir imajdan yeniden kurun ve erişebildiği her anahtarı değiştirin. Güvenli sürüm 1.106.2.

Tam olarak ne oldu?

LiteLLM, tek bir uygulamanın tek bir arayüz üzerinden onlarca yapay zekâ modeliyle konuşmasını sağlayan açık kaynaklı bir kütüphane ve ağ geçididir; bu yüzden birçok şirket onu yapay zekâ ürünlerinin merkezine koyar. Chainguard'a göre son bir ayda PyPI'da 100 milyondan fazla indirildi ve 2.000'den fazla başka paket ona bağımlı; dolayısıyla birçok ekip onu farkında olmadan kuruyor.

LiteLLM'in resmî olay raporuna göre saldırganlar, projenin kayıtlarına sızmış GitHub erişim belirteçlerini ele geçirdi. 21 Ekim'de UTC 10:08'de ayrıcalıklı bir geliştirici kimliğiyle dal korumasını aştılar ve yayın akışını, benzer adlı bir depodan derleyecek şekilde değiştirdiler: «BerriAI/litellm» yerine «Berri-AI/litellm». UTC 11:39'da zararlı dosyalar PyPI'a ulaştı, UTC 11:46'da ise v1.107.0, latest, main-latest ve main-stable etiketleriyle zehirli Docker imajları yayımlandı. PyPI sürümü UTC 13:23'e kadar kaldırdı, Docker etiketleri de UTC 14:20'de, yani Riyad saatiyle 17:20'de temizlendi.

Bu, aynı projeye bu yıl yapılan ikinci saldırı. Chainguard, Mart 2026'da bir grubun çalınmış bir PyPI belirteciyle 1.82.7 ve 1.82.8 sürümlerini yayımladığını hatırlatıyor.

Zararlı sürüm neleri çalıyor?

Tehlikeli olan, uygulamanızın LiteLLM'i kullanmasını beklememesi. Sürüm, o makinede Python her başladığında, ilgisiz bir komutta bile çalışan Python başlangıç dosyaları ekledi. Wiz'in analizine göre hırsız şunları topladı:

  • Yapılandırma dosyalarından, ortam değişkenlerinden ve sunucu meta verilerinden AWS, Google Cloud ve Azure bulut anahtarları.
  • OpenAI, Anthropic, Cohere ve diğer yapay zekâ sağlayıcılarının API anahtarları, yani faturanız ve verileriniz.
  • Özel SSH anahtarları, komut geçmişi ve tarayıcılarda kayıtlı parolalar ile çerezler.
  • LiteLLM Proxy veritabanında saklanan 500'e kadar sağlayıcı kimlik bilgisi.

Saldırganlar çaldıklarıyla beklemedi. Wiz, çalınan AWS kimlik bilgilerinin çalınmasından yaklaşık 4,5 saat sonra derleme sunucularından ve Kubernetes düğümlerinden denendiğini gördü. Zararlı yazılım ayrıca her saat uzaktan kod çeken ikinci bir aşama kurdu; bu yüzden paket silindikten sonra bile makine açık kalıyor.

Şirketim etkilendi mi?

Ekibiniz sürümleri tam olarak sabitliyorsa ve 21 Ekim'de Riyad saatiyle 14:39 ile 17:20 arasında hiçbir şey güncellemediyse büyük olasılıkla etkilenmediniz. Aşağıdakilerden biri geçerliyse etkilenmiş olabilirsiniz:

  • Bir sunucu veya konteyner, sabit sürüm olmadan «pip install litellm» çalıştırıyor ya da Docker'ın «latest» etiketini çekiyor.
  • Bir CI/CD hattı o öğleden sonra yeniden derleme yaptı.
  • Bir geliştirici o gün LiteLLM'i dizüstü bilgisayarında denedi.
  • Sisteminiz LiteLLM'e bağımlı başka bir paket kullanıyor.

LiteLLM, özel Enterprise sürümünün müşterilerinin etkilenmediğini söylüyor.

Bugün atılacak beş adım

  • Arayın: Kilit dosyalarında, derleme kayıtlarında ve konteyner imajlarında 1.107.0 sürümünü, Python paket klasöründe de cook.pth ve sitecustomize.py dosyalarını.
  • Yeniden kurun: Bulursanız yalnızca kaldırmakla yetinmeyin. Resmî rapor, enfekte bir ortamda pip çalıştırmanın zararlı yazılımı yeniden tetikleyebileceği konusunda uyarıyor. Makineyi veya konteyneri temiz bir imajdan yeniden kurun.
  • Tüm anahtarları değiştirin: Makinenin ulaşabildiği bulut anahtarları ve rolleri, yapay zekâ sağlayıcı anahtarları, veritabanı parolaları ve SSH anahtarları. Bunların zaten saldırganların elinde olduğunu varsayın.
  • Kayıtları inceleyin: 21 Ekim'den bu yana bulut etkinliğinde GetCallerIdentity gibi olağan dışı çağrılara bakın ve yapay zekâ sağlayıcınızın faturasında tanımadığınız harcamaları izleyin.
  • Sürümleri sabitleyin: litellm==1.106.2 veya sonraki resmî bir düzeltmeyi kurun ve «latest» sürümünü otomatik çekmek yerine her kütüphaneyi bir kilit dosyasıyla sabitleyin.

Yapay zekâ ajanlarının kodunda unutulan anahtarlar hakkındaki önceki yazımızı okuduysanız ders, başka bir açıdan aynı: Yapay zekâ anahtarları artık şirketinizin en değerli sırları arasında ve toplandıkları yer bir hedef hâline geliyor.

Origami'nin görüşü

Burada kimse LiteLLM'in kodunun kendisini hacklemedi. Saldırganlar kodun derlenme ve yayımlanma biçimini değiştirdi; bu yüzden yalnızca kaynak kodu incelemek bunu yakalamazdı. Bu nedenle yapay zekâ ürünlerini korumak, kütüphane seçiminden çok onu nasıl işlettiğinizle ilgili: sabit sürümler, her ortam için yalnızca gerekli izinlere sahip ayrı bir anahtar, her yapay zekâ sağlayıcısında harcama limitleri ve kimin neye eriştiğinin net bir kaydı. Origami'de şirketler için yapay zekâ sistemleri kurarken model ağ geçidini sistemin en hassas parçası olarak ele alıyoruz, çünkü her şeyin anahtarlarını o tutuyor. Yapay zekâ uygulamanızın bu olay açısından kontrol edilmesini ya da anahtarlarının ve izinlerinin yeniden düzenlenmesini istiyorsanız bizimle iletişime geçin.

Kaynaklar