新聞

開源AI模型串接工具LiteLLM再遭供應鏈攻擊，駭客利用偷來的工程師GitHub登入憑證，修改官方發布流程，使1.107.0版被植入竊密程式與可供遠端執行程式碼的後門，再透過Python套件平臺PyPI及Docker映像檔儲存庫散布。LiteLLM已下架受污染版本，並暫停例行版本發布。

LiteLLM可讓開發者透過同一介面呼叫多家公司的AI模型，也能集中管理模型服務金鑰。受影響的包括PyPI上的1.107.0版，以及Docker Hub與GitHub容器映像檔儲存庫的多個下載選項，使用者即使沒有指定1.107.0版，當時下載標示為最新版的映像檔，也可能取得惡意程式。從私人儲存庫取得企業版的客戶則不受影響。

LiteLLM調查發現，攻擊者取得3名工程師的GitHub憑證，利用其中具有管理權限的帳號關閉原本限制修改程式碼的保護措施，並將發布系統讀取原始碼的位置，改成名稱與官方專案相近的仿冒儲存庫。惡意版本因此經由官方系統建置並上架，但GitHub上公開的1.107.0版原始碼並未含有惡意檔案。

資安業者SafeDep分析發現，受污染套件會在Python執行環境加入惡意檔案，讓同一環境中的其他Python程式啟動時也可能觸發竊密行為，即使那些程式沒有使用LiteLLM。攻擊者藉此蒐集雲端服務登入憑證、AI服務金鑰、遠端登入用的私密金鑰，以及LiteLLM資料庫中的金鑰，再將資料傳送到外部伺服器。

LiteLLM今年3月也曾遭供應鏈攻擊，至於本次工程師憑證如何外洩？團隊發現Claude Code在特定情況下會將GitHub登入憑證放入回覆內容，相關資料可能被記錄在LiteLLM內部系統。駭客是否因此取得憑證，以及最初如何進入內部系統，仍在調查。

受污染的PyPI版本於臺灣時間10月21日19時39分上架，21時23分下架，Docker Hub受害映像檔直到22時20分才完成移除或替換。LiteLLM建議曾安裝或執行受害版本的使用者，改從乾淨環境重新安裝，並更換可能外洩的服務金鑰及登入憑證，暫時使用1.106.2版。該公司也提醒，不要直接在受污染環境執行套件安裝指令，以免再次啟動惡意程式。