PyPIの改ざんされたLiteLLM 1.107.0、資格情報窃取ツールとバックドアをインストール

何が起きたか

LiteLLM 1.107.0 のリリースに、認証情報を盗む「cook.py」と、外部から命令を受け取れる「sitecustomize.py」が入っていました。Python を起動するたびに自動で動くため、LiteLLM を使わない場合でも感染します。PyPI は 2026年10月21日 13:23 UTC にこのリリースを削除しました。

主な数字と事実

• 影響を受けたのは 1.107.0 の7つのホイール（Linux、macOS、Windows 向け）です。
• Docker イメージ（v1.107.0、latest など4種）は 11:46〜14:20 UTC の間、悪意あるコードを含んでいました。
• 安全なバージョンは 1.106.2、1.107.0rc1、1.107.0rc2 です。関連パッケージの 0.4.110 と 0.1.78 も安全と報告されています。
• 盗まれる情報には SSH 鍵、クラウドの認証情報、CI/CD の秘密情報、AIツールのトークン、ブラウザのパスワード、LLM のAPIキーなどが含まれます。

しくみをやさしく説明すると

Python は起動時に、site-packages というフォルダの .pth ファイルにある import 文を自動で実行します。攻撃者はこの仕組みを悪用しました。盗んだデータは暗号化されて外部サーバーへ送られます。さらに1時間ごとにサーバーから新しい命令を受け取り、別のプログラムを実行できる状態でした。ソースコードの設定ファイルに1行だけ追加され、ビルド時にこの不正なファイルが組み込まれていました。

なぜ重要か

LiteLLM は多くの開発者や企業が AI サービスへの接続に使うツールです。そのため、公式の配布経路から悪意あるコードが届いたことは、非常に大きな被害につながるおそれがあります。開発者の GitHub 認証情報が盗まれ、承認の仕組みも回避されたため、配布の安全性そのものが問われています。

今後注目すべき点

• 盗まれた認証情報を無効化する作業が、利用者や企業でどこまで進むか。
• LiteLLM が公表した対応手順に沿って、感染の有無を確認する動きが広がるか。
• 攻撃者が盗んだデータや仕込んだバックドアをどのように使ったかについての追加調査。
• PyPI や Docker Hub で、リリースの承認や署名の仕組みがどう強化されるか。