Feltörték a LiteLLM kiadási rendszerét: AI-kulcsokat is lophatott a kártékony frissítés

Egy hivatalosnak látszó szoftverfrissítésen keresztül próbáltak hozzáférési adatokat ellopni a LiteLLM felhasználóitól. A 2026. október 21-i támadás nemcsak az AI-szolgáltatások kulcsait veszélyeztethette: az érintett fejlesztői gépek, felhőkörnyezetek és automatizált kiadási folyamatok hitelesítő adatai is célponttá válhattak.

A LiteLLM nyílt forráskódú eszköz, amely különböző mesterségesintelligencia-modellek elérését egységesítheti. Éppen ezért egyes telepítései több szolgáltatóhoz és belső rendszerhez rendelkezhetnek hozzáféréssel.

Kétórás ablak a PyPI-n – több érintett Docker-címke

A LiteLLM 1.107.0 verziójának hét rosszindulatú Python-csomagja a gyártó idővonala szerint október 21-én 11:39 és 13:23 UTC között volt elérhető a PyPI-n. A Docker Hubon és a GitHub Container Registryben a v1.107.0, latest, main-latest és main-stable címkék alatt is megjelent kompromittált tartalom, eltérő időablakokban.

Az érintett kiadásokat a gyártó eltávolította vagy tiszta változatra állította vissza. A külön, privát vállalati kiadási csatornát használó LiteLLM Enterprise-ügyfeleket a gyártói tájékoztatás szerint nem érintette a támadás.

A Python elindítása is elég lehetett a kártevő futásához

A Microsoft Security Research október 23-i elemzése szerint a csomag a Python indítási mechanizmusába illeszkedő fájlokat tartalmazott, például cook.pth és sitecustomize.py elemeket. Emiatt a rosszindulatú kód akkor is aktiválódhatott, ha az alkalmazás nem hívta meg közvetlenül a LiteLLM funkcióit.

A visszafejtett kód fejlesztői hozzáféréseket, böngészőadatokat, felhőhitelesítést, SSH-anyagokat, környezeti változókat és egyes LiteLLM-adatbázisrekordokat célzott. A Microsoft konkrét végpontokon a gyűjtési és kifelé irányuló kapcsolatfelvételi viselkedést is megfigyelte. A kód további távoli programok letöltésére alkalmas részt is tartalmazott, ám ennek tényleges használatát nem erősítették meg.

A kiadási folyamatba jutottak be

A LiteLLM október 23-i véglegesített támadásilánc-vizsgálata szerint kompromittált fejlesztői hozzáférésekkel módosították a kiadási munkafolyamatot. A támadók egy megtévesztő nevű forráskódtárra irányították a csomagépítést, majd további hozzáféréssel átjutottak a kiadási jóváhagyási lépésen.

Az eredeti GitHub-forráscímke önmagában nem tartalmazta a kártékony fájlokat. A veszély a ténylegesen terjesztett telepítőcsomagokban és konténerképekben jelent meg. Ezért az ilyen incidenseknél nem elegendő kizárólag a nyilvános forráskódot ellenőrizni.

Miért releváns a bankok és fintechcégek számára?

A pénzügyi szektorban az AI-eszközök megjelenhetnek ügyfélszolgálati automatizációban, dokumentumfeldolgozásban, belső elemzésben és fejlesztői munkafolyamatokban. Egy modellgateway hozzáférhet különböző API-kulcsokhoz, adatforrásokhoz vagy infrastruktúra-azonosítókhoz. Egy kompromittált komponens ezért a tényleges jogosultságoktól függően az eredeti AI-alkalmazáson túlmutató kockázatot jelent.

Ez igazolt szoftverellátásilánc-támadás, nem igazolt banki incidens. A nyilvános források nem bizonyítják, hogy konkrét pénzintézetet támadtak volna meg, és azt sem, hogy minden LiteLLM-felhasználó érintett.

Mit ellenőrizzenek az üzemeltetők?

Elsőként a telepítési naplókból és a konténerképek azonosítóiból érdemes megállapítani, hogy az érintett időablakban futott-e a litellm==1.107.0 vagy kompromittált konténerkép. A gyártó ideiglenesen a korábbi, explicit módon rögzített 1.106.2 verzió használatát javasolta.

Ha egy érintett környezet elindult, a biztonságos lépés a tiszta újraépítés, a potenciálisan elérhető titkos kulcsok cseréje és a hozzáférési naplók átvizsgálása. Vizsgálandók a felhőszerepkörök, a LiteLLM proxyhoz kötődő kulcsok, az adatbázis-hitelesítő adatok, a CI/CD-folyamatok és az esetleges szokatlan hálózati kapcsolatok is. Az eset további technikai indikátorai a gyártói és a Microsoft-közleményekben olvashatók.