Apa yang terjadi
Post-mortem resmi LiteLLM (dipublikasikan 2026-10-23, dilaporkan luas pada 2026-10-24-26) mengidentifikasi vektor akses awal untuk kompromi rantai pasokan 21 Okt: kunci master Agent Platform yang tidak dicabut bocor di repositori publik pada Mei 2026. Penyerang menggunakannya untuk mencuri token OAuth CLI GitHub pemilik org pada 10 Okt, dan selama 10-21 Okt mengeksfiltrasi token maintainer lainnya, menimpa perlindungan cabang, dan membangun rilis berbahaya dari repositori tiruan. Detail utama dan akar penyebab ini menggantikan hipotesis sebelumnya bahwa token dicuri dari log respons internal LiteLLM.
Mengapa penting
Ini adalah eskalasi material dari insiden v1.107.0 yang dilaporkan sebelumnya: ini menunjukkan satu kunci master yang tidak diputar di platform orkestrasi agen memberi penyerang akses GitHub pemilik organisasi, dan bahwa malware juga menargetkan kunci API inference hulu (OpenAI, Anthropic, Bedrock) dan dapat dimuat di host mana pun yang menjalankan gateway LiteLLM. Setiap organisasi yang meng-host sendiri LiteLLM Agent Platform atau proxy LiteLLM dengan kunci penyedia terekspos.
Vektor serangan
Kunci master LiteLLM Agent Platform secara tidak sengaja di-commit ke repositori publik LiteLLM-Labs/lite-harness pada 2026-05-27 dan tidak pernah dicabut. Penyerang menggunakannya pada 2026-10-10 untuk mengakses Agent Platform dan mengekstrak token OAuth CLI GitHub yang tidak dibatasi lingkupnya yang terhubung ke akun pemilik org, kemudian menggunakan akses tingkat pemilik tersebut selama hari-hari berikutnya untuk mencuri token maintainer, menonaktifkan perlindungan cabang, mengarahkan deployer ke repositori tiruan (Berri-AI/litellm), dan merilis v1.107.0 yang teracuni.
Sistem yang terdampak
LiteLLM Agent Platform (alat orkestrasi agen open-source) dan jalur rilis LiteLLM; artefak berbahaya litellm==1.107.0 dan tag Docker v1.107.0 / latest / main-latest / main-stable.
Mitigasi
Putar setiap kredensial yang mungkin telah dijangkau host yang dikompromikan; cabut/putar semua token OAuth CLI GitHub dan token pemilik org; terapkan rotasi rahasia dan pembatasan lingkup hak akses minimum; perlakukan host mana pun yang menjalankan litellm 1.107.0 atau menarik gambar yang terpengaruh sebagai sepenuhnya dikompromikan; kunci ke rilis bersih seperti litellm==1.106.4 dan blokir litellm[.]dev.