21 октября 2026 года в пакете litellm версии 1.107.0 и соответствующих Docker-образах был обнаружен стилер учетных данных. Вредоносный код затрагивал теги v1.107.0, latest, main-latest и main-stable. Это второй случай компрометации проекта за год: предыдущий инцидент произошел в марте 2026 года с версиями 1.82.7 и 1.82.8.
Злоумышленники использовали OAuth-токены трех разработчиков и владельца организации для обхода защиты веток и подмены релизного workflow. Измененный конвейер собирал артефакты из репозитория-двойника Berri-AI/litellm. Атака заняла полтора часа от внесения правок до публикации, при этом зараженные образы были доступны около 2,5 часов.
Вредоносное ПО устанавливало файлы cook.pth, cook.py и sitecustomize.py, которые активировались при запуске любого процесса Python. Стилер похищал переменные окружения, облачные ключи и токены AI-инструментов, отправляя их на домен litellm.dev. Если в системе была база данных прокси, злоумышленники получали доступ ко всем ключам вендоров и мастер-ключам.
По версии BerriAI, точкой входа стал внутренний деплой LiteLLM, доступный из интернета, где в логи попадали токены разработчиков. Компания рекомендует пользователям сменить все скомпрометированные секреты: от облачных ролей и SSH-ключей до API-ключей моделей. Безопасными признаны версии 1.106.x и ниже, а также релиз-кандидаты 1.107.0rc1 и 1.107.0rc2.
Для защиты рекомендуется использовать деплой по дайджестам, а не по тегам, применять lock-файлы с хэшами и ограничивать исходящий трафик. Также эксперты советуют внедрить аппаратные ключи для одобрения релизов, настроить алерты на изменение защиты веток и не логировать тела запросов, содержащие потенциально секретные данные.
