この記事のポイント
- LiteLLM 1.107.0のPyPIパッケージと公式コンテナに悪意あるコードが混入した
- 対象環境ではLiteLLMを呼び出さなくても、Python起動時に情報窃取処理が動く可能性がある
- パッケージ削除だけで終えず、環境再構築と到達可能だった認証情報の交換が必要である
2026年10月26日にLiteLLMの事故報告とMicrosoftの10月23日付分析を確認した。対象環境での調査・復旧操作はしていない。画像は開発環境のイメージで、実際の感染画面ではない。
複数の生成AIサービスを一つの窓口から呼び出すソフトウェアLiteLLMで、公式の配布経路が侵害された。10月21日に公開されたバージョン1.107.0と一部の公式コンテナには、認証情報を盗み、追加コードを読み込める悪意あるファイルが含まれていた。
GitHub上の同じ番号のソースタグは正常でも、PyPIやコンテナから受け取った完成品が汚染されていた。ソースだけ確認して安全だと判断できない供給網攻撃である。
対象だった配布物と時間帯
LiteLLMによると、PyPIの1.107.0は11時39分から13時23分（UTC）まで公開された。Docker HubとGHCRでは1.107.0に加え、latest、main-latest、main-stableの各タグも一時的に侵害された。対象物はすでに削除または安全な参照先へ戻されている。
悪意あるファイルはPythonの起動処理を利用したため、アプリがLiteLLMを明示的に読み込まなくても、該当環境でPythonを起動するだけで動く可能性があった。クラウド鍵、SSH情報、環境変数、ブラウザ情報、LiteLLMのデータベース情報などが対象になり得る。
確認と復旧の順序
該当時間帯に固定していないpipインストールを実行した、または対象コンテナを起動した場合は、影響を受けた前提で扱う。LiteLLMは疑わしい環境で最初にpipを動かさず、シェルから痕跡を確認するよう案内している。
推奨は仮想環境やコンテナを信頼できる元から作り直し、安全な版へ固定することだ。その後、その環境から読めたAI事業者のAPIキー、クラウド権限、データベース資格情報、環境変数の秘密を交換し、外部利用の記録を調べる。
コメント