Хакеры взломали LiteLLM и распространили вредоносную версию через PyPI и Docker

21 октября 2026 года злоумышленники взломали инфраструктуру сборки и публикации LiteLLM — открытого инструмента, который позволяет приложениям работать с разными ИИ-моделями через единый API. В результате в репозитории Python-пакетов PyPI и реестрах Docker появились заражённые сборки версии 1.107.0. Об инциденте команда проекта сообщила в официальном отчёте.

Вредоносный код позволял злоумышленникам похищать учётные данные из окружения, в котором работал LiteLLM, а также удалённо выполнять код. Таким образом, под угрозой оказывались не только данные пользователей, но и системы, на которых была установлена заражённая версия LiteLLM.

По данным разработчиков, вредоносный код содержался во всех семи установочных файлах пакета litellm==1.107.0, опубликованных в PyPI. Заражённые Docker-образы с тегами v1.107.0, latest, main-latest и main-stable также распространялись через Docker Hub и GitHub Container Registry. Последние затронутые образы в Docker Hub удалили к 14:20 UTC.

Как злоумышленники обошли защиту LiteLLM

Для атаки использовали украденные учётные данные GitHub трёх сотрудников LiteLLM. Один из токенов принадлежал владельцу организации GitHub и позволял изменять настройки защиты репозитория.

Сначала атакующие попытались изменить автоматизированный процесс выпуска обновлений, но система безопасности заблокировала изменения. Тогда злоумышленники воспользовались полученным доступом, отключили защиту ветки и принудительно внесли изменения в репозиторий.

После этого они изменили настройки сборки так, чтобы файлы создавались на основе подставного репозитория Berri-AI/litellm. Его название было почти идентично официальному BerriAI/litellm, но содержимое контролировали злоумышленники. В результате система собрала заражённые файлы и опубликовала их через стандартный механизм выпуска LiteLLM.

Таким образом, вредоносный код попал к пользователям в составе официального релиза, а не отдельного подозрительного пакета. При этом исходный код версии 1.107.0 в официальном репозитории GitHub оставался обычным — заражение происходило на этапе сборки и публикации.

Как получили доступ к учётным записям разработчиков

Разработчики LiteLLM также обнаружили возможную связь атаки с Claude Code — ИИ-инструментом для программирования от Anthropic.

По их данным, при определённых условиях Claude Code может включать OAuth-токены GitHub CLI в ответы. Если эти ответы сохраняются в логах — технических журналах работы программы, токены могут оказываться доступны посторонним.

Команда LiteLLM обнаружила подозрительную учётную запись во внутреннем экземпляре сервиса, доступном из интернета. Разработчики предполагают, что злоумышленники могли проникнуть в систему, найти в логах GitHub-токены сотрудников и использовать их для изменения процесса выпуска обновлений.

Однако неизвестно, как именно атакующие получили первоначальный доступ к системе. Разработчики также проверяют, могла ли атака быть связана с недавно устранённой уязвимостью. Внутреннее расследование продолжается.

Чем опасна атака и что делать пользователям

LiteLLM используют для подключения приложений к различным ИИ-моделям. Поэтому в окружении, где работает инструмент, могут храниться API-ключи ИИ-сервисов, пароли баз данных и другие конфиденциальные данные.

Вредоносный код в версии 1.107.0 позволял злоумышленникам похищать эти данные, а также загружать дополнительные компоненты для удалённого выполнения команд. С их помощью атакующие могли получить доступ к другим системам организаций, установивших заражённую версию.

Разработчики LiteLLM рекомендуют считать потенциально скомпрометированными все системы, в которых запускалась версия 1.107.0. Такие окружения следует заново развернуть из безопасных образов, а все учётные данные, к которым могла получить доступ вредоносная программа, — заменить. В первую очередь это касается API-ключей, паролей баз данных и учётных данных облачных сервисов.

К моменту публикации официального отчёта заражённые Python-пакеты и Docker-образы уже удалили или заменили безопасными версиями. По заявлению разработчиков, предыдущие версии LiteLLM не пострадали. Атака также не затронула отдельный закрытый реестр, через который распространяются корпоративные сборки инструмента.

Сколько пользователей успели установить заражённую версию и удалось ли злоумышленникам похитить их данные, пока неизвестно.