La version 1.107.0 de LiteLLM contient de façon confirmée un code de vol d'identifiants, et tout environnement qui l'a installée doit être considéré comme compromis. Le 21 octobre 2026, la société de sécurité Wiz a révélé qu'un LiteLLM 1.107.0 trojanisé avait été mis en ligne sur PyPI ce jour-là à 11:39 UTC. Le même build malveillant a aussi atteint plusieurs tags d'images sur GHCR et Docker Hub, retirés vers 13:53 UTC. La version sûre la plus récente est la 1.106.2.
Ce qui est volé, c'est le coffre entier de la machine, pas une seule clé
Une fois installé, le paquet malveillant dépose trois fichiers à la racine du site-packages de Python, exécutés à chaque démarrage d'un interpréteur Python. Son module de vol ratisse les comptes et cookies enregistrés dans les navigateurs, les identifiants cloud AWS, GCP et Azure, les clés privées SSH, et cible précisément les clés API d'OpenAI, d'Anthropic et d'autres fournisseurs de modèles stockées dans les variables d'environnement et les fichiers de configuration. Plus gênant encore : LiteLLM Proxy stocke lui-même les clés des fournisseurs en amont dans sa propre base de données, et le voleur interroge directement cette table d'identifiants pour en extraire jusqu'à 500 entrées d'un coup. La victime est donc souvent une passerelle de modèles partagée par une équipe : une seule machine compromise peut exposer les clés de modèles de toute une entreprise.
Les données volées sont chiffrées puis envoyées vers un domaine contrôlé par l'attaquant qui imite l'infrastructure LiteLLM, déguisé en interface de contrôle de santé facile à manquer dans les journaux.
Trois choses à faire maintenant
Premièrement, vérifier les versions immédiatement : tout environnement ayant installé la 1.107.0 ou récupéré des tags affectés comme latest doit être traité comme compromis, sans attendre une facture anormale. Deuxièmement, procéder à une rotation large : clés cloud, clés API de modèles, clés SSH et comptes importants enregistrés dans le navigateur doivent être remplacés ; ne changer que la configuration de LiteLLM est très loin de suffire. Troisièmement, rechercher les traces sur l'hôte : fichiers de démarrage inattendus à la racine de site-packages, marqueurs d'exécution inconnus dans les répertoires temporaires, et requêtes sortantes de la période concernée.
LiteLLM est une passerelle courante pour accéder à de nombreux fournisseurs de modèles via une seule interface ; plus sa base d'utilisateurs est large, plus l'empoisonnement de sa chaîne d'approvisionnement rapporte. La leçon dépasse ce seul paquet : les outils passerelles ont des privilèges élevés et manipulent beaucoup de clés, leurs mises à jour doivent donc être vérifiées en environnement isolé avant d'atteindre la production.
