גרסת LiteLLM 1.107.0 שפורסמה ל־PyPI ולמאגרי קונטיינרים ב־21 באוקטובר 2026 כללה קוד זדוני שנועד לאסוף אישורי גישה ולהפעיל קוד נוסף. לפי LiteLLM והניתוח של Microsoft Threat Intelligence, האירוע הוכל והארטיפקטים הבעייתיים הוסרו — אבל ארגון שהתקין או הפעיל אותם צריך להתייחס לסביבה כאל סביבה שנחשפה.
מה הופך את האירוע למסוכן במיוחד
הקוד הזדוני הותקן בקובצי אתחול של Python. משמעות הדבר היא שלא היה צורך לייבא את LiteLLM בתוך האפליקציה: עצם הפעלת Python בסביבה שבה הגרסה הנגועה הותקנה עלולה הייתה להפעיל את המטען. לכן גם תחנות פיתוח, סוכני CI/CD, סביבות בדיקה וקונטיינרים שלא הפעילו בפועל AI Gateway עשויים להיות רלוונטיים לחקירה.
Microsoft מציינת שהאוסף ניסה להגיע לחומר אימות מכלי פיתוח ו־AI, מאגרי קוד, AWS, Azure ו־Google Cloud, קובצי Kubernetes ו־Docker, משתני סביבה, מפתחות SSH, נתוני דפדפנים ונתונים נבחרים ממסד הנתונים של LiteLLM Proxy. הופעת יעד בקוד אינה מוכיחה שכל פרט אכן נגנב, אך היא מגדירה את היקף הרוטציה והחקירה הנדרש.
מי נחשב חשוף
- מי שהתקין את
litellm==1.107.0מ־PyPI. - מי שהריץ בתקופת החשיפה תמונות Docker עם התגים
v1.107.0,latest,main-latestאוmain-stable. - מי ששמר את החבילה במטמון, mirror פנימי, lock file, build artifact או image פנימי.
LiteLLM מסרה שגרסאות קודמות בטוחות, וכי ה־private enterprise release שלה לא הושפע. עם זאת, ארגונים צריכים לבדוק את הארטיפקט המדויק ולא להסתמך רק על שם תג שניתן לשינוי.
מה לעשות עכשיו
- לבודד את הסביבה החשודה. אין להריץ בה Python או pip לצורך הבדיקה, משום שגם הפעלה כזו עלולה להפעיל שוב את קובצי האתחול הזדוניים.
- לבדוק מבחוץ. לחקור מתחנה נקייה את חבילות Python, מטמונים, registry פנימי, image digests, build agents וקונטיינרים.
- לבנות מחדש. Microsoft ממליצה להעדיף rebuild מארטיפקטים מאומתים ולא להסתפק במחיקת ספריית LiteLLM, משום שקובצי האתחול הונחו מחוץ לספריית היישום.
- לסובב אישורי גישה. ממחשב נקי יש להחליף מפתחות ספקי מודלים, זהויות ענן, secrets של CI/CD, אסימוני Git ומאגרים, מפתחות SSH, סיסמת
DATABASE_URLוסשנים שהיו נגישים לזהות שנפגעה. - לבדוק שימוש המשך. לחפש פעילות חריגה בזהויות ענן, ב־GitHub, ב־registry ובספקי המודלים לאחר חלון החשיפה.
לקח לצוותי DevSecOps
האירוע ממחיש מדוע תגי latest אינם בסיס מספק לפריסה מאובטחת. מומלץ להצמיד גרסאות ו־hashes, לעבוד עם image digests בלתי משתנים, להכניס חבילות ל־mirror פנימי רק אחרי אימות, לצמצם גישת יציאה לאינטרנט מסוכני build ולנטר שימוש באישורי גישה מחוץ לסביבה הרגילה.
מקורות
קרדיט תמונה: Markus Winkler / Pexels. דף המקור, בשימוש לפי רישיון Pexels.
