Компрометация LiteLLM 1.107.0 могла украсть ключи через запуск Python
Компрометированная версия LiteLLM 1.107.0 попала в PyPI и официальные контейнерные образы 21 октября. LiteLLM используется как шлюз между приложениями и поставщиками моделей, поэтому заражённая сборка могла находиться не только на сервере ИИ-шлюза, но и на рабочих станциях разработчиков, CI/CD-агентах, тестовых системах и в контейнерах.
Как работала атака
По данным Microsoft Security, пакет содержал файлы cook.pth, cook.py и sitecustomize.py. Они подключались механизмами начальной загрузки Python: запуск интерпретатора в затронутом окружении мог активировать вредоносный код даже без импорта LiteLLM. Сборщик был рассчитан на поиск ключей разработчиков и ИИ-приложений, облачных учётных данных, данных браузеров, SSH-материалов, переменных окружения и конфигурации прокси LiteLLM.
Microsoft также обнаружила Unix-компонент, способный загружать и выполнять дополнительный Python-код. Исследователи не подтвердили фактическое выполнение второй стадии, но назвали механизм повторно активируемым. Собранные данные шифровались и отправлялись на внешний адрес.
Масштаб и последствия
Разработчики LiteLLM сообщили, что вредоносные колёса были доступны в PyPI примерно с 11:39 до 13:23 UTC, а образы Docker и GHCR — в течение нескольких часов. Под удар попали семь колёс PyPI и несколько подвижных тегов контейнеров, включая latest. Команда отозвала артефакты, но предупреждает: простой откат пакета не доказывает, что секреты не были украдены.
Для затронутых сред рекомендуются изоляция хостов, проверка startup-файлов вне подозрительного интерпретатора, пересборка окружений из доверенных артефактов и ротация всех доступных ключей. Инцидент показывает отдельный риск ИИ-инфраструктуры: компрометация шлюза моделей затрагивает не только приложение, но и цепочку секретов вокруг него.