LiteLLMが今年2度目の毒入れ攻撃：呼び出さなくても鍵を盗まれる

動察 Beating AI 速報、セキュリティ企業JFrogが発見したところによると、人気のオープンソースAIモデルゲートウェイLiteLLMが再びサプライチェーン攻撃を受けた。最新のバージョン1.107.0に悪意のあるプログラムが埋め込まれ、公式Dockerイメージも影響を受けている。LiteLLMはOpenAIやAnthropicなどのモデルを統一的に呼び出し、APIキーを集中管理できるが、今年3月にも別のサプライチェーン攻撃により汚染されていた。

今回の攻撃はより巧妙だ。ハッカーはPythonインストールパッケージに3つの追加ファイルを隠し込んだ。ユーザーがインストールした後、関連するPython環境を起動するだけで、LiteLLMを呼び出していなくても悪意のあるコードが自動的に実行される。ブラウザのパスワード、SSH秘密鍵、AWSなどのクラウドプラットフォームの認証情報、さらにClaude、Codex、Cursorなどの開発ツールの認証情報を収集する。また、LiteLLMデータベースに保存されたモデルAPIキーの読み取りを試み、公式ドメインを装ったサーバーに送信する。

攻撃者はさらに永続的なバックドアを残し、1時間ごとにリモート指令を確認し、必要に応じて新しいコードをダウンロードして実行する。さらに厄介なことに、GitHub上の正式版ソースコードにはこれらの悪意のあるファイルは含まれていないが、PyPIに公開された全7プラットフォームのインストールパッケージにトロイの木馬が埋め込まれている。コミュニティがDockerのビルド記録を通じて発見したところによると、リリースシステムが使用するソースコードアドレスは、公式リポジトリ名とハイフン1つだけ異なる偽造リポジトリを指していた。それがどのようにリリースプロセスに混入したのかは、まだ解明されていない。

現在、PyPIは悪意のあるバージョンを削除し、Docker Hubも影響を受けたイメージを撤回した。JFrogは、1.107.0をインストールまたは実行したユーザーは、関連する認証情報が漏洩した可能性があると見なし、ソフトウェアを単にアンインストールするのではなく、環境を隔離して再構築し、APIキーなどの機密認証情報をローテーションすべきだと注意を促している。安全が確認されたロールバックバージョンは1.106.2である。