何が起きたか
LiteLLMの公式ポストモーテム（2026-10-23公開、2026-10-24～26に広く報道）は、10月21日のサプライチェーン侵害の初期アクセスベクトルを特定している。2026年5月に公開リポジトリに漏洩した未失効のAgent Platformマスターキーである。攻撃者はそれを使用して10月10日にGitHub組織オーナーのCLI OAuthトークンを盗み、10月10日から21日にかけてさらにメンテナートークンを外部持ち出しし、ブランチ保護を上書きし、類似リポジトリから悪意のあるリリースを構築した。この見出しの詳細と根本原因は、トークンが内部のLiteLLM応答ログから盗まれたという以前の仮説を覆す。
なぜ重要か
これは以前報告されたv1.107.0インシデントの重大なエスカレーションである。エージェントオーケストレーションプラットフォーム上の単一の未ローテーションのマスターキーが、攻撃者に組織オーナーのGitHubアクセスを与え、マルウェアが上流の推論APIキー（OpenAI、Anthropic、Bedrock）も標的にし、LiteLLMゲートウェイを実行する任意のホストにロードされる可能性があったことを示している。LiteLLM Agent Platformまたはプロバイダーキーを持つLiteLLMプロキシをセルフホストする組織はすべて露出している。
攻撃経路
LiteLLM Agent Platformのマスターキーが2026-05-27に公開のLiteLLM-Labs/lite-harnessリポジトリに誤ってコミットされ、失効されなかった。攻撃者は2026-10-10にそれを使用してAgent Platformにアクセスし、組織オーナーのアカウントに結びついた非スコープダウンされたGitHub CLI OAuthトークンを抽出し、その後数日間そのオーナーレベルのアクセスを使用してメンテナートークンを盗み、ブランチ保護を無効化し、デプロイヤーを類似リポジトリ（Berri-AI/litellm）に向け直し、毒されたv1.107.0を出荷した。
影響を受けるシステム
LiteLLM Agent Platform（オープンソースのエージェントオーケストレーションツール）およびLiteLLMリリースパイプライン。悪意のあるアーティファクトlitellm==1.107.0およびDockerタグv1.107.0 / latest / main-latest / main-stable。
緩和策
侵害されたホストが到達した可能性のあるすべての資格情報をローテーションする。すべてのGitHub CLI OAuthトークンと組織オーナートークンを失効/ローテーションする。秘密のローテーションと最小権限のスコープを強制する。litellm 1.107.0を実行したホストまたは影響を受けたイメージを取得したホストを完全に侵害されたものとして扱う。litellm==1.106.4などのクリーンなリリースにピン留めし、litellm[.]devをブロックする。