LiteLLMの1.107.0に認証情報窃取コードが仕込まれていたことが確認され、導入した環境は漏洩前提で対応すべきだ。2026年10月21日、セキュリティ企業Wizは、同日11:39 UTCにトロイの木馬化されたLiteLLM 1.107.0がPyPIにアップロードされたと公表した。同じ悪性ビルドはGHCRとDocker Hubの複数イメージタグにも入り、関連イメージは13:53 UTC頃に削除された。現時点の最新安全バージョンは1.106.2である。
盗まれるのは1本の鍵ではなく、マシンの金庫全体
悪性パッケージはインストール後、Pythonのsite-packages直下に3つのファイルを置き、Pythonインタープリタが起動するたびに実行される。窃取モジュールはブラウザ保存のアカウントとCookie、AWS・GCP・Azureのクラウド認証情報、SSH秘密鍵を横断的に集め、環境変数や設定ファイルにあるOpenAIやAnthropicなどのモデルAPIキーを特に狙う。さらに厄介なのは、LiteLLM Proxy自体が上流プロバイダのAPIキーを自前データベースに保存しており、窃取コードがその認証情報テーブルを直接検索して最大500件を一度に持ち出す点だ。被害に遭うのは個人プロジェクトよりチーム共用のモデルゲートウェイであることが多く、1台の侵害が会社全体のモデルキーの流出につながりかねない。
盗まれたデータは暗号化され、LiteLLMのインフラを装った攻撃者のドメインへ、ヘルスチェック接口に見せかけて送信されるため、ログでも見逃しやすい。
今すぐやるべき3つのこと
第一に、バージョンを即確認すること。1.107.0を入れた環境や、latestなど影響タグのイメージを取得した環境は、異常な請求を待たずに侵害済みとして扱う。第二に、交換範囲を広く取ること。クラウドキー、モデルAPIキー、SSHキー、ブラウザ保存の重要アカウントまで入れ替えが必要で、LiteLLM自身の設定だけでは全く足りない。第三に、ホストの痕跡を洗うこと。site-packages直下の不審な起動ファイル、一時ディレクトリ内の見覚えのない実行マーカー、その時間帯の外向き通信を確認する。
LiteLLMは複数モデルへ一括接続する定番ゲートウェイであり、利用者が多いほどサプライチェーン汚染の見返りは大きくなる。教訓はLiteLLMだけの話ではない。権限が高く鍵を大量に扱うゲートウェイ類は、本番投入前に隔離環境で新バージョンを検証する運用が欠かせない。
