Populært AI-værktøj LiteLLM var inficeret med kodetyveri i version 1.107.0

LiteLLM er et værktøj, som udviklere bruger til at koble sig på mange forskellige AI-tjenester. Version 1.107.0 blev den 21. oktober 2026 kompromitteret og udbredt både som PyPI-pakke (Pythons store pakkelager) og i officielle Docker-images (færdigpakkede programmer). Det skriver sikkerhedsfirmaet Socket og bloggen LLM Gateway. Ifølge LLM Gateway var det Aikido Security, der rapporterede kompromitteringen.

Hvad blev ramt

Ifølge Socket blev pakkens filer udgivet kl. 11:39:51 UTC, og Sockets AI-scanner markerede malwaren cirka syv minutter senere. Det drejer sig om syv distributioner til macOS, Linux og Windows samt flere container-images på GHCR og Docker Hub. Ifølge LLM Gateway distribuerede Docker-tags som latest, main-latest og main-stable også malwaren.

Pakken indeholdt tre Python-opstartsfiler: cook.pth, cook.py og sitecustomize.py. De kører, når Python startes, uden at LiteLLM behøver at blive brugt eller importeret.

Hvad den stjæler

Ifølge Socket leder stjæleren efter adgangsoplysninger til AWS, Azure, Google Cloud, Kubernetes, Docker, GitHub CLI, Vault, Terraform og Packer. Den går også efter udviklerlegitimationer, loginoplysninger til AI-værktøjer, browserdata samt SSH- og GPG-nøgler. LLM Gateway tilføjer, at nøgler til alle LLM-udbydere i en LiteLLM-proxy og hemmeligheder i CI/CD (automatiske udviklingsforløb) også er mål.

De stjålne data krypteres med RSA-4096 og sendes som JSON til www.litellm.dev/healthcheck, et domæne som ikke tilhører det rigtige projekt.

Fjernstyring

Filen sitecustomize.py fungerer ifølge Socket som en fjernadgangstrojaner. Ifølge begge kilder henter den hver time kommandoer fra et GitHub-repositorium og kører den hentede Python-kode uden signaturkontrol. Socket noterer, at GitHub-pegepinden returnerede tomt kl. 13:01:44 UTC, så firmaet ikke kunne se den aktive downloadfase. Socket fandt desuden et lookalike-repositorium, Berri-AI/litellm, som ikke er det legitime BerriAI/litellm.

Sådan tjekker du og beskytter dig

Ifølge LLM Gateway er tegn på infektion filerne /tmp/.pc_once_72129118c59f5636c0bb3 (stjæleren) og /tmp/remote_code_loader.lock (fjernadgangstrojaneren).

LLM Gateway anbefaler at rotere alle legitimationsoplysninger fra rene maskiner, genopbygge fra ikke-kompromitterede images og fastlåse afhængigheder med hash frem for versionstags.

Forbehold

Socket har ikke fastslået, hvordan konti blev kompromitteret, eller hvordan tokens blev misbrugt. Socket påpeger også, at herkomstdokumenter viser registrerede input, ikke verificeret pålidelighed, og at nogle Linux-specifikke funktioner muligvis ikke kører på alle platforme. Angrebet skal ikke forveksles med et tidligere, separat angreb på LiteLLM 1.82.7 og 1.82.8 i marts 2026.