何が起きたか
10月21日早朝、LiteLLMのリリースパイプラインが侵害され、v1.107.0がPyPIとDocker Hub/GHCRにプッシュされました。このバージョンにはコンパイル済みマルウェア（認証情報窃取型+リモートコード実行ローダー）が含まれていました。PyPIのホイールは約1時間44分、Dockerイメージは約2時間34分公開された後、削除されました。以前のバージョンは安全です。ベンダーのインシデント記事は、攻撃者が3人のエンジニアから盗んだGitHub CLI OAuthトークンを使用して、攻撃者が管理するリポジトリからアーティファクトがビルドされたことを確認しています（2026-10-21確認、プライマリインシデントページを取得して検証済み）。
なぜ重要か
LiteLLMはほとんどのLLMデプロイメントの認証情報基盤に位置しています — プロバイダーAPIキーを保持し、すべてのモデル呼び出しをプロキシします。侵害されたプロキシリリースにより、攻撃者はすべてのダウンストリームAIサービスへのキーと、ゲートウェイホスト上でのRCEを入手し、AIインフラストラクチャのアイデンティティ層を完全に掌握できます。これはまさに「ランタイム時のAIサプライチェーン」シナリオであり、確認済みの悪意のあるリリースです。
攻撃経路
サプライチェーン：攻撃者は3人の盗まれたメンテナー GitHubアカウント / GitHub CLI OAuthトークンを使用してリリースパイプラインを変更し、攻撃者がビルドしたホイールとイメージを公開しました。これには、資格情報を盗み、Python起動のたびにリモートコード実行ツールをロードするコンパイル済みマルウェアが含まれています（cook.pth / sitecustomize.py経由）。
影響を受けるシステム
LiteLLM OSS: PyPI litellm==1.107.0 (全7つのホイール); Docker Hub/GHCRイメージ v1.107.0, latest, main-latest, main-stable (litellm, litellm-database, litellm-non_root)
緩和策
環境をクリーンアップするためにpip installを実行しないでください（.pthフックが再トリガーされます）。cook.pth、cook.py、sitecustomize.pyおよび__pycache__対応物を削除してください。/tmp/remote_code_loader.lockを保持している分離されたPythonデーモンを強制終了してください。イメージ/venvを再ビルドし、litellm==1.106.2以前に固定してください。インシデントページ: https://docs.litellm.ai/blog/security-incident-oct-21-2026。影響を受けた環境は完全に侵害されたものとして扱ってください（アウトバウンドインターネットアクセスがあった場合はデータ流出を想定してください）。