LiteLLM 1.107.0: útok na dodávateľský reťazec a čo majú robiť vývojári

Programátori často inštalujú knižnice jedným príkazom a dôverujú, že balík pochádza od autorov projektu. Pri útoku na dodávateľský reťazec (supply chain) sa práve tejto dôvere zneužíva: útočník nenapadne vás, ale nástroj, ktorý používate. Presne takto vyzerá incident okolo knižnice LiteLLM, populárnej brány na prácu s modelmi umelej inteligencie. Škodlivá verzia 1.107.0 sa 21. októbra 2026 dostala na repozitár PyPI aj do obrazov Docker.

Čo sa stalo

Podľa oznámenia projektu bol kompromitovaný jeho proces vydávania verzií a do verejných registrov sa dostala verzia 1.107.0 so škodlivým kódom. Podľa opisov analytikov išlo o malvér, ktorý kradne prihlasovacie údaje do cloudu, tajomstvá vývojárov a kľúče k službám umelej inteligencie, a umožňuje aj ďalšie vzdialené spúšťanie nástrojov. Škodlivý kód sa podľa jedného opisu spúšťal pri každom štarte Pythonu v zasiahnutom prostredí, takže stačilo mať balík nainštalovaný.

Ktoré verzie sú ohrozené

• V PyPI je zasiahnutá iba verzia 1.107.0, vo všetkých siedmich inštalačných súboroch (wheels). Bola dostupná približne od 11:39 do 13:23 UTC 21. októbra.
• V Dockeri išlo o obrazy s označením v1.107.0, latest, main-latest a main-stable, ktoré obsahovali škodlivý build približne od 11:46 do 14:20 UTC.
• Posledná známa bezpečná verzia je podľa oznámenia 1.106.2. Oficiálna zdrojová značka verzie 1.107.0 na GitHube škodlivé súbory podľa projektu neobsahuje.

Projekt balíky z PyPI a z registrov Dockeru odstránil alebo nahradil čistými verziami a zrušil dotknuté tokeny.

Ako útočník postupoval

Podľa projektu boli škodlivé kroky vykonané cez účty troch inžinierov na GitHube, zrejme pomocou ukradnutých tokenov GitHub CLI OAuth. Útočník mal podľa jeho správy prístup k trom sadám prihlasovacích údajov, pričom jedna mohla spúšťať pracovné postupy (workflows). Vypol ochranu vetiev, začlenil zmenu, ktorá nasmerovala vydávanie na podobne pomenovaný repozitár, spustil pracovný postup a podpísal a zverejnil poškodené súbory.

Odkiaľ vzali tokeny

Prvé vysvetlenie projektu hovorilo, že tokeny sa pravdepodobne získali z logov vnútorného nasadenia, ktoré bolo dostupné z internetu. Podľa neskoršej analýzy z 23. októbra bol hlavný kľúč experimentálnej platformy 27. mája omylom zverejnený vo verejnom repozitári a nikdy sa nezrušil. Útočník ho podľa tej analýzy 10. októbra použil na prečítanie tokenu vlastníka organizácie. Vyšetrovanie ešte pokračuje a opisy sa môžu zmeniť.

Poučenie o logoch

Projekt poznamenal, že niektoré nástroje pre programátorov vkladajú token GitHub CLI do tela odpovede, a tam, kde sa odpovede zaznamenávajú do logov, sa tak môžu tokeny dostať do záznamov. Je to všeobecné upozornenie: logy sú citlivé dáta a nemali by obsahovať prístupové tokeny.

Nie je to prvý incident

Podľa správ ide o druhý útok na dodávateľský reťazec tohto projektu v roku 2026. Na konci marca boli na PyPI zverejnené škodlivé verzie 1.82.7 a 1.82.8 po krádeži prístupových údajov v súvislosti s širšou kampaňou. Dva incidenty tak ukazujú, že projekt a jeho používatelia čelia opakovanému tlaku.

Čo robiť, ak ste LiteLLM používali

• Zistite, čo ste inštalovali. Overte, či ste v uvedenom okne 21. októbra stiahli verziu 1.107.0 z PyPI alebo Docker obraz s niektorou z uvedených značiek. Pri obrazoch si skontrolujte, ktorý obsah ste skutočne získali.
• Ak áno, berte prostredie ako kompromitované. Odpojte ho od siete, izolujte a znovu ho postavte z čistých podkladov.
• Zmeňte všetky tajomstvá, ku ktorým mohol malvér pristúpiť: cloudové prihlasovacie údaje, kľúče k službám AI, tokeny GitHubu, SSH kľúče a premenné prostredia.
• Prejdite logy a hľadajte neobvyklé spojenia a použitie rotovaných kľúčov.
• Prejdite na bezpečnú verziu 1.106.2 alebo novšiu overenú verziu od projektu.

Presný zoznam odporúčaných opatrení a indikátorov kompromitácie hľadajte priamo v oznámení projektu LiteLLM a v analýzach bezpečnostných firiem. V tomto článku ho nenahrádzame.

Ako sa chrániť pred podobnými útokmi

• Pripnite verzie a kontrolné súčty. Nenechajte si inštalovať „najnovšiu“ verziu automaticky v produkcii.
• Počkajte pár dní s novými vydaniami, ak to nie je naliehavé. Škodlivé verzie sa zvyčajne odhalia a odstránia v priebehu hodín.
• Obmedzte oprávnenia na vydávanie. Požadujte nezávislé schvaľovanie a nenechajte rovnaké prihlasovacie údaje schváliť aj spustiť vydanie.
• Používajte krátkodobé tokeny a zrušte tie, ktoré nepotrebujete.
• Nedávajte vnútorné nasadenia na verejný internet bez dôkladného zabezpečenia a nezapisujte tajomstvá do logov.

Čo nemáme potvrdené

• Presný počet zasiahnutých firiem alebo programátorov. Údaje o rozsahu nemáme.
• Presnú príčinu získania tokenov. Vysvetlenia sa líšia a vyšetrovanie pokračuje.
• Dopad na Slovensko. Údaje o slovenských firmách nie sú dostupné.

Záver

Incident okolo LiteLLM je ďalšou pripomienkou, že reťazec dôvery pri vývoji softvéru je len taký silný ako jeho najslabší článok: prístupové tokeny v logoch, nezrušený kľúč či príliš široké oprávnenia pri vydávaní. Ak ste knižnicu používali, overte verziu, vymeňte tajomstvá a prejdite na bezpečnú verziu. Ak nie, využite príležitosť skontrolovať, ako vydávate a inštalujete softvér vo vlastnom tíme.