LiteLLM 1.107.0에 자격증명 탈취 코드가 심어진 것이 확인됐으며, 설치한 환경은 유출을 전제로 대응해야 한다. 2026년 10월 21일 보안 기업 Wiz는 이날 11:39 UTC에 트로이목마화된 LiteLLM 1.107.0이 PyPI에 업로드됐다고 공개했다. 같은 악성 빌드는 GHCR과 Docker Hub의 여러 이미지 태그에도 들어갔고, 관련 이미지는 13:53 UTC 무렵 제거됐다. 현재 가장 최근의 안전 버전은 1.106.2다.
훔치는 것은 키 하나가 아니라 머신의 금고 전체
악성 패키지는 설치 후 Python의 site-packages 루트에 파일 3개를 떨어뜨리며, Python 인터프리터가 시작될 때마다 실행된다. 탈취 모듈은 브라우저에 저장된 계정과 쿠키, AWS·GCP·Azure 클라우드 자격증명, SSH 개인키를 sweeping하고, 환경변수와 설정 파일 속 OpenAI, Anthropic 등 모델 API 키를 특히 노린다. 더 골치 아픈 점은 LiteLLM Proxy 자체가 업스트림 공급자의 API 키를 자체 데이터베이스에 저장하는데, 탈취 코드가 그 자격증명 테이블을 직접 조회해 한 번에 최대 500건까지 빼낸다는 것이다. 피해 대상은 개인 프로젝트보다 팀 공용 모델 게이트웨이인 경우가 많아, 머신 한 대의 침해가 회사 전체 모델 키 유출로 이어질 수 있다.
탈취된 데이터는 암호화되어 LiteLLM 인프라를 사칭한 공격자 도메인으로, 헬스체크 인터페이스처럼 위장해 전송되므로 로그에서도 놓치기 쉽다.
지금 해야 할 세 가지
첫째, 버전을 즉시 확인하라. 1.107.0을 설치했거나 latest 등 영향을 받은 태그의 이미지를 받은 환경은 이상 청구서를 기다리지 말고 침해된 것으로 취급해야 한다. 둘째, 교체 범위를 넓게 잡아라. 클라우드 키, 모델 API 키, SSH 키, 브라우저에 저장된 중요 계정까지 바꿔야 하며, LiteLLM 자체 설정만 교체해서는 전혀 부족하다. 셋째, 호스트 흔적을 역추적하라. site-packages 루트의 낯선 시작 파일, 임시 디렉터리의 생소한 실행 마커, 해당 시간대의 외부 전송 기록을 확인해야 한다.
LiteLLM은 여러 모델 공급자를 하나로 연결하는 대표 게이트웨이로, 사용자가 많을수록 공급망 오염의 대가도 커진다. 교훈은 LiteLLM에만 국한되지 않는다. 권한이 높고 키를 많이 다루는 게이트웨이 도구는 프로덕션에 넣기 전에 격리 환경에서 새 버전을 검증하는 절차가 필수다.
