LiteLLM Version 1.107.0 enthält nachweislich Code zum Diebstahl von Zugangsdaten; jede Umgebung, die sie installiert hat, sollte als kompromittiert gelten. Am 21. Oktober 2026 meldete die Sicherheitsfirma Wiz, dass eine trojanisierte LiteLLM 1.107.0 an diesem Tag um 11:39 UTC auf PyPI hochgeladen wurde. Derselbe manipulierte Build gelangte auch in mehrere Image-Tags auf GHCR und Docker Hub, die gegen 13:53 UTC entfernt wurden. Die jüngste sichere Version ist 1.106.2.
Gestohlen wird der ganze Tresor, nicht ein einzelner Schlüssel
Nach der Installation legt das Schadpaket drei Dateien direkt in das Wurzelverzeichnis von Pythons site-packages; sie laufen bei jedem Start eines Python-Interpreters. Das Stealer-Modul durchsucht im Browser gespeicherte Konten und Cookies, Cloud-Zugangsdaten von AWS, GCP und Azure sowie SSH-Privatschlüssel und jagt gezielt API-Schlüssel für OpenAI, Anthropic und andere Modellanbieter in Umgebungsvariablen und Konfigurationsdateien. Noch gravierender: Der LiteLLM Proxy speichert die Upstream-Schlüssel seiner Anbieter in einer eigenen Datenbank, und der Stealer fragt diese Zugangsdaten-Tabelle direkt ab und zieht bis zu 500 Einträge auf einmal. Betroffen ist daher oft kein Einzelprojekt, sondern das gemeinsam genutzte Modell-Gateway eines Teams – eine kompromittierte Maschine kann die Modellschlüssel einer ganzen Firma offenlegen.
Die gestohlenen Daten werden verschlüsselt an eine vom Angreifer kontrollierte Domain geschickt, die LiteLLM-Infrastruktur imitiert und sich als Health-Check-Endpunkt tarnt, der in Logs leicht untergeht.
Drei Dinge, die jetzt zu tun sind
Erstens: Versionen sofort prüfen. Jede Umgebung mit 1.107.0 oder mit betroffenen Tags wie latest gilt als kompromittiert – nicht erst auf eine auffällige Rechnung warten. Zweitens: breit rotieren. Cloud-Schlüssel, Modell-API-Schlüssel, SSH-Schlüssel und wichtige im Browser gespeicherte Konten müssen ersetzt werden; nur die LiteLLM-Konfiguration zu tauschen, reicht bei Weitem nicht. Drittens: Host-Spuren suchen – unerwartete Startdateien im site-packages-Verzeichnis, fremde Laufmarker in temporären Ordnern und die ausgehenden Anfragen aus dem betroffenen Zeitraum prüfen.
LiteLLM ist ein verbreitetes Gateway, um viele Modellanbieter über eine Schnittstelle zu nutzen; je größer die Nutzerbasis, desto höher der Ertrag einer Supply-Chain-Vergiftung. Die Lehre reicht über dieses Paket hinaus: Gateway-Werkzeuge besitzen hohe Rechte und verwalten viele Schlüssel, deshalb gehören Upgrades zuerst in eine isolierte Testumgebung, bevor sie Produktion erreichen.
