- LiteLLM opisał, jak klucz wrzucony w maju do publicznego repozytorium i nigdy nie unieważniony dał atakującemu dostęp do firmy.
- 21.10 na PyPI trafiła zatruta wersja 1.107.0; przez ok. 2 godziny pobrano ją ok. 49 tys. razy (dane Wiz).
- Bezpieczna wersja według Wiz: 1.106.2.
Najkrócej: LiteLLM, popularna otwarta bramka do łączenia aplikacji z wieloma modelami AI, opublikował 23.10.2026 analizę ataku. Wszystko zaczęło się od klucza, który w maju trafił do publicznego repozytorium. Commit nadpisano, ale klucza nie unieważniono. To klasyczny atak na łańcuch dostaw.
Jak przebiegał atak (według LiteLLM)
- 27.05.2026: plik konfiguracyjny z kluczem głównym do wewnętrznej platformy agentów trafił do publicznego repozytorium. Bez unieważnienia klucza.
- 10.10: atakujący użył klucza, odczytał z platformy token GitHub właściciela organizacji, a przez podstawione zadania CI wyciągnął kolejne sekrety i tokeny dwóch opiekunów projektu.
- 21.10, ok. 11:40 UTC: na PyPI trafiła wersja
litellm==1.107.0(siedem plików), chwilę później obrazy Docker. - Ok. 20 minut później użytkownik zgłosił problem, a PyPI zablokował wersję o 13:23 UTC. Zatrute pliki były dostępne ok. 2 godziny.
- Firma pisze, że w tym samym tygodniu złagodzono zasadę zatwierdzania wydań: wcześniej wymagała konta przypiętego do fizycznego urządzenia w biurze.
Co kradł wirus
Według Wiz wersję pobrano ok. 49 tys. razy. Złodziej danych uruchamiał się przy każdym starcie Pythona i zbierał m.in. hasła i ciasteczka z przeglądarek, klucze AWS, Google Cloud i Azure, klucze do OpenAI, Anthropic i innych dostawców modeli oraz klucze SSH.
Co sprawdzić u siebie
- Czy gdziekolwiek zainstalowano
litellm==1.107.0albo obraz z tagiemlatestz 21.10. Wiz wskazuje 1.106.2 jako ostatnią bezpieczną wersję. - Jeśli tak: uznaj wszystkie klucze dostępne na tej maszynie za skradzione i wymień je.
- Przy okazji: każdy klucz, który choć raz trafił do publicznego kodu, unieważnij, nawet jeśli commit już zniknął.
Jak to czytać
Analizę pisze sama poszkodowana firma, a liczbę pobrań podaje Wiz; pobrania obejmują też automaty, więc nie każde to zainfekowany serwer. O ochronie projektów z AI piszę w hubie bezpieczeństwo kodu AI.