무슨 일이 있었나
10월 21일 이른 아침, LiteLLM 릴리스 파이프라인이 손상되어 v1.107.0이 PyPI와 Docker Hub/GHCR에 게시되었습니다. 해당 버전에는 컴파일된 멀웨어(자격 증명 탈취기 + RCE 로더)가 포함되어 있었습니다. PyPI 휠은 약 1시간 44분, Docker 이미지는 약 2시간 34분 동안 노출된 후 제거되었습니다. 이전 버전은 안전합니다. 공급업체의 사고 게시물은 해당 아티팩트가 세 명의 엔지니어의 도난당한 GitHub CLI OAuth 토큰을 사용하여 공격자가 제어하는 저장소에서 빌드되었음을 확인합니다(2026-10-21 확인, 기본 사고 페이지를 가져와 검증).
왜 중요한가
LiteLLM은 대부분의 LLM 배포 환경에서 자격 증명 평면에 위치합니다. 공급자 API 키를 보유하고 모든 모델 호출을 프록시합니다. 손상된 프록시 릴리스는 공격자에게 모든 다운스트림 AI 서비스의 키와 게이트웨이 호스트에 대한 RCE를 제공하여 AI 인프라의 ID 계층을 완전히 장악하게 합니다. 이는 확인된 악성 릴리스를 동반한 정확히 '런타임 시 AI 공급망' 시나리오입니다.
공격 경로
공급망: 공격자는 세 명의 유지관리자 GitHub 계정 / GitHub CLI OAuth 토큰을 도용하여 릴리스 파이프라인을 수정하고 자격 증명을 탈취하고 모든 Python 시작 시 원격 코드 실행 도구를 로드하는 컴파일된 멀웨어(cook.pth / sitecustomize.py를 통해)를 포함하는 공격자 빌드 휠과 이미지를 게시했습니다.
영향받는 시스템
LiteLLM OSS: PyPI litellm==1.107.0(7개 휠 전체); Docker Hub/GHCR 이미지 v1.107.0, latest, main-latest, main-stable(litellm, litellm-database, litellm-non_root)
완화 방안
환경을 정리하기 위해 pip install을 하지 마십시오(.pth 후크가 다시 트리거됨). cook.pth, cook.py, sitecustomize.py 및 __pycache__ 대응 파일을 삭제하십시오. /tmp/remote_code_loader.lock을 보유한 분리된 Python 데몬을 종료하십시오. 이미지/venv를 다시 빌드하고 litellm==1.106.2 이하로 고정하십시오. 사고 페이지: https://docs.litellm.ai/blog/security-incident-oct-21-2026. 영향을 받은 모든 환경을 완전히 손상된 것으로 취급하십시오(아웃바운드 인터넷이 있었다면 유출을 가정).