LiteLLM 1.107.0に認証情報窃取マルウェア
原題: Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor
なぜ重要か
LLM開発ツールへのサプライチェーン攻撃は、AIシステムに組み込まれた機密APIキーが大規模に流出するリスクを示しており、業界全体のパッケージ配布セキュリティへの対応が急務となっている。
SafeDepは2026年10月21日、PyPIで公開されていたLiteLLM 1.107.0に認証情報窃取プログラムとバックドアが仕込まれていたと報告した。Linux・macOS・Windows向け全7wheels版に影響し、インストールするとSSH鍵・クラウド認証情報・LLMプロバイダーAPIキーなどが盗まれる仕組みが組み込まれていた。PyPIは当該リリースを既に削除している。
セキュリティ企業SafeDepの研究者Kunal Singhが、AIアプリ開発向けのLLMプロキシライブラリ「LiteLLM」のバージョン1.107.0に悪意のあるコードが混入していたことを明らかにした。
問題のリリースをインストールすると、`site-packages`ディレクトリに3つのファイルが設置される。そのうち2つは、litellmを一切importしないものも含め、そのマシン上で**Pythonプロセスが起動するたびに自動実行**される仕組みになっていた。
**ペイロード1：認証情報窃取（cook.py）**
`cook.pth`が`cook.py`を読み込む形で動作し、SSH鍵、AWSなどのクラウド認証情報、CI/CDシークレット、OpenAI・Anthropicなど各種AIツールのAPIトークン、ブラウザの保存パスワード、さらにLiteLLMの設定ファイル内のLLMプロバイダーキーを収集して外部に送信する。
**ペイロード2：バックドア（sitecustomize.py）**
リモートコード実行（RCE）を可能にするバックドアが`sitecustomize.py`として設置される。同ファイルはPythonインタープリター起動時に自動ロードされる仕組みを悪用している。
GitHubのアップストリームリポジトリにはこれらのコードは存在せず、PyPIへの公開プロセスで混入したと見られる。バージョン1.106.2、1.107.0rc1、1.107.0rc2は問題なし。1.107.0が依存する`litellm-proxy-extras==0.4.110`と`litellm-enterprise==0.1.78`も感染していない。PyPIは既に1.107.0を削除済みで、同バージョンをインストールした開発者は即時のシークレットローテーションが推奨される。