무슨 일이 있었나
LiteLLM의 공식 사후 분석(2026-10-23 게시, 2026-10-24-26에 널리 보도됨)은 10월 21일 공급망 손상의 초기 접근 벡터를 식별합니다: 2026년 5월 공개 저장소에 유출된 폐기되지 않은 Agent Platform 마스터 키입니다. 공격자는 10월 10일에 이를 사용하여 GitHub 조직 소유자 CLI OAuth 토큰을 훔쳤고, 10월 10일-21일 동안 더 많은 유지보수자 토큰을 유출하고, 브랜치 보호를 무시하며, 유사한 저장소에서 악성 릴리스를 빌드했습니다. 이 주요 세부사항과 근본 원인은 이전에 토큰이 내부 LiteLLM 응답 로그에서 도난되었다는 가설을 대체합니다.
왜 중요한가
이것은 이전에 보고된 v1.107.0 사건의 실질적 확대입니다: 에이전트 오케스트레이션 플랫폼에서 단일 회전되지 않은 마스터 키가 공격자에게 조직 소유자 GitHub 접근을 제공했으며, 악성 코드가 업스트림 추론 API 키(OpenAI, Anthropic, Bedrock)도 노렸고 LiteLLM 게이트웨이를 실행하는 모든 호스트에 로드될 수 있음을 보여줍니다. LiteLLM Agent Platform 또는 공급자 키가 있는 LiteLLM 프록시를 자체 호스팅하는 모든 조직이 노출됩니다.
공격 경로
LiteLLM Agent Platform 마스터 키가 2026-05-27에 공개 저장소 LiteLLM-Labs/lite-harness에 실수로 커밋되었고 폐기되지 않았습니다. 공격자는 2026-10-10에 이를 사용하여 Agent Platform에 접근하고 조직 소유자 계정에 연결된 비범위 제한 GitHub CLI OAuth 토큰을 추출한 다음, 이후 며칠 동안 소유자 수준 접근을 사용하여 유지보수자 토큰을 훔치고, 브랜치 보호를 비활성화하고, 배포자를 유사한 저장소(Berri-AI/litellm)로 재지정하고, 오염된 v1.107.0을 출시했습니다.
영향받는 시스템
LiteLLM Agent Platform (오픈소스 에이전트 오케스트레이션 도구) 및 LiteLLM 릴리스 파이프라인; 악성 아티팩트 litellm==1.107.0 및 Docker 태그 v1.107.0 / latest / main-latest / main-stable.
완화 방안
손상된 호스트가 접근했을 수 있는 모든 자격 증명을 회전시키고; 모든 GitHub CLI OAuth 토큰 및 조직 소유자 토큰을 폐기/회전시키고; 비밀 회전 및 최소 권한 범위를 강제하고; litellm 1.107.0을 실행했거나 영향을 받은 이미지를 가져온 모든 호스트를 완전히 손상된 것으로 취급하고; litellm==1.106.4와 같은 깨끗한 릴리스로 고정하고 litellm[.]dev를 차단하세요.