LiteLLMがサプライチェーン攻撃で侵害され、スティーラーとバックドアを配布

佐々山 Tacos

2026.10.22

[開く][閉じる]

LiteLLMがサプライチェーン攻撃で侵害され、スティーラーとバックドアを配布

LiteLLMがサプライチェーン攻撃で侵害され、スティーラーとバックドアを配布

The Register – Wed 21 Oct 2026

LiteLLMのリリースプロセスが何者かに侵害され、認証情報スティーラーマルウェアおよびRATを含んだ悪意あるバージョン（1.107.0）が配布されたという。SafeDep、Socket、StepSecurity、Upwindなどのセキュリティ企業が報告した。

LiteLLMは、BerriAIによって開発されたAIツール。このツールにより、OpenAI、アンソロピック、Google GeminiなどのさまざまなプロバイダーのLLMを同一のインターフェースで使用することができるようになっている。このため、侵害されたインストール環境では、LLMプロバイダーのAPIキー、クラウドID、データベース接続文字列などが同時に実行される可能性があり、その結果、膨大な量の認証情報、シークレット、その他の機微なデータが、攻撃者に漏洩してしまうことになる。

PyPIのwheelおよびDockerイメージを通じて配布された侵害版LiteLLM 1.107.0は、すでにPyPI上で隔離されており、当該Dockerイメージも削除済み。しかし、侵害版をダウンロードしたユーザーには、認証情報を盗まれたものとみなして無効化し、更新することが推奨されている。

悪意あるバージョンは、日本時間2026年10月21日の20:39にアップロードされたと報告されている。その後、攻撃者はBerriAIの正規のOrganizationに見せかけた「github[.]com/Berri-AI/litellm」を使って以下3件の悪意あるファイルをLiteLLMのリリースパイプラインに注入したとされる。

cook.pth：マシン上でPythonが呼び出されるたびに、2つ目のファイルである「cook.py」が自動的に実行されるようにするためのファイル。
cook.py：インフォスティーラーを含むファイル。
sitecustomize.py：リモートアクセス型トロイの木馬（RAT）。

＜影響を受けるwheels＞

litellm-1.107.0-cp310-abi3-macosx_10_12_x86_64.whl
litellm-1.107.0-cp310-abi3-macosx_11_0_arm64.whl
litellm-1.107.0-cp310-abi3-manylinux_2_28_aarch64.whl
litellm-1.107.0-cp310-abi3-manylinux_2_28_x86_64.whl
litellm-1.107.0-cp310-abi3-musllinux_1_2_aarch64.whl
litellm-1.107.0-cp310-abi3-musllinux_1_2_x86_64.whl
litellm-1.107.0-cp310-abi3-win_amd64.whl

インフォスティーラーは、Chrome、Firefox、Edge、Safariからブラウザ認証情報およびCookieを盗むほか、~/.aws/にあるAWS認証情報や環境変数、EC2/ECSインスタンスのメタデータ（IMDS）、Google Cloud Platformのサービスアカウントキーおよびアプリケーションのデフォルト認証情報、Microsoft Azureトークンなども収集。加えて、OpenAI、Anthropic、Cohere、その他のLLMプロバイダーのAPIキーに加え、SSH秘密鍵、GPG鍵、シェル履歴ファイルも盗み出すとされる。盗み出されたデータはすべて暗号化され、HTTP POST経由で攻撃者のドメイン「http://www[.]litellm[.]dev/healthcheck」へ送られるという。

LiteLLMのセキュリティディレクターOliver Jensen氏によると、悪意ある活動はエンジニア3人のGitHubアカウントを通じて実施されたものとみられる。攻撃者は盗まれたGitHub CLI OAuthトークンを使ってこれらのアカウントを制御し、うち1件を使ってproject-releaser の実行を指示。もう1件のアカウントを使い、これを承認したとされる。この攻撃に関与したすべてのトークンはすでに無効化されているという。

Jensen氏によればこのサプライチェーン攻撃に関する調査はまだ進行中で、「脅威アクターが該当するトークンをどのようにして取得したのか、その仕組みはまだ特定できていない」とされる。このためJensen氏は、攻撃者が使用した3件のGitHubアカウントへのさらなるアクセスが完全にないとは「まだ断言できない」と述べた。同氏は、一時的な緩和策として影響を受けていない1名を除くすべてのユーザーを、同社のGitHub Organizationから削除したと伝えている。

今回の攻撃による影響範囲は現在のところ明確になっていない。ただ、2026年3月に発生したTeamPCPによる別のLiteLLMに対するサプライチェーン攻撃では、2,500超の組織と434,000のCI/CDパイプラインが影響を受けた可能性があるとCloudSEKは報告していた。