LiteLLM 1.107.0侵害、導入環境ではPython起動だけで認証情報窃取の恐れ

侵害されたLiteLLM 1.107.0の導入環境では、LiteLLMをインポートしなくても、Pythonの起動だけで認証情報収集コードが動く可能性があります。10月23日、Microsoftがこの仕組みの解析を公開し、LiteLLMも侵入から不正リリースまでの原因調査を公表しました。

対象は1.107.0と、当時の不正なコンテナイメージ

対象は、10月21日にPyPIへ公開されたLiteLLM 1.107.0の配布パッケージと、公式Docker Hub／GHCRで配布された不正なコンテナイメージです。コンテナではv1.107.0、latest、main-latest、main-stableの各タグが、当日の一時期に不正なイメージを指していました。

LiteLLMの10月23日付の原因調査によると、発端は5月に公開リポジトリへ誤って含めた内部エージェント基盤のマスターキーでした。コミットを消した後もキーは失効されず、攻撃者は10月10日にこれを使って基盤へアクセスし、GitHub組織オーナーのトークンを取得しました。さらにCI経由で別の担当者のトークンも奪い、10月21日にリリース工程の参照先を偽装リポジトリへ変更して、不正な配布物を署名・公開させました。

問題の配布物やタグは、すでに削除・隔離、または安全なイメージへの差し替えが行われています。LiteLLMによると、非公開のEnterprise専用レジストリから配布されたリリースは影響を受けていません。

LiteLLMを使わない作業でも起動する仕組み

Microsoftの解析では、悪意ある起動用ファイルは、通常のLiteLLMフォルダーの外にあるPython環境のライブラリ領域へ置かれていました。Pythonの初期化時に読み込まれるため、LiteLLMとは無関係な作業でも収集コードが動く可能性があります。配布停止やタグの差し替えは導入済み環境の復旧にはならず、LiteLLMフォルダーの削除や更新だけでも、不正な起動用ファイルが残る恐れがあります。

収集対象は、実行プロセスから読み取れるモデル提供元のAPIキー、クラウドやソース管理のトークン、SSH鍵、ブラウザーデータ、環境変数などです。ただし、収集対象に含まれることと、実際にすべてが窃取されたことは別です。Unix系では追加のPythonコードを取得・実行する仕組みもありましたが、その取得・実行は確認されていません。

確認のためにPythonやpipを起動しない

影響が疑われる端末、CI環境、コンテナ、AIゲートウェイは隔離し、調査のためにその環境のPythonやpipを起動しないでください。無関係な依存関係を入れるためのpip操作でも、起動処理が引き金になり得ます。確認は、既知のクリーンな環境から、信頼できる外部ツールを使って行います。

復旧では、管理担当者が残存する不正な起動用ファイルやプロセスを処理し、仮想環境やコンテナイメージをクリーンと確認できた配布物から作り直します。影響を受けた環境からアクセスできた鍵やトークンは、クリーンな端末から失効・再発行し、関連するセッションも失効させる必要があります。

実際に情報が持ち出されたかどうかは、ファイル、プロセス、通信、認証の記録を組み合わせて調べます。目印のファイルが見つからないという理由だけでは、安全とは判断できません。