LiteLLM稱黑客利用 Claude Code 洩露的 GitHub token 發布遭篡改的 1.107.0 版本

LiteLLM 表示，黑客從其自身的記錄中取得所需的金鑰。他們於週三利用這些金鑰，發布了其軟件的遭植入惡意程式版本。這個開源 AI 閘道在一份事故報告中作出説明。其行政總裁、技術總監及安全總監均在報告上簽署。

其工程師發現，Anthropic 的編碼 Agent Claude Code 有時會把用戶的 GitHub CLI 登入權杖放進回應中。公司表示，如果有系統記錄這些回應，權杖可能會進入 LiteLLM 的記錄。

「我們相信，攻擊者取得了這個部署的存取權，從其記錄中取得 GitHub CLI OAuth 權杖，隨後利用這些憑證入侵我們的發佈工作流程，」LiteLLM 寫道。

這是 LiteLLM 自己的內部部署，但向公眾互聯網開放。公司表示，當中有一個「名稱看似無害、出乎意料的用戶帳戶」。LiteLLM 尚未確認攻擊者如何入侵，但懷疑涉及一個近期已修補的漏洞。

三個被竊取的權杖

LiteLLM 讓開發者透過單一 API 使用多種 AI 模型。遭植入惡意程式的版本 1.107.0 於 10 月 21 日 11:39 至 13:23 UTC 在 PyPI 上架。PyPI 是主要的 Python 套件索引。其 Docker 映像於 11:46 至 14:20 UTC 上線。LiteLLM 表示，GitHub 上官方的 1.107.0 原始碼標籤並未包含惡意檔案。

Upwind 的研究人員最先在 GitHub 上報告這個遭植入惡意程式的版本。LiteLLM 在X 上表示，於太平洋時間上午 6:32 得悉此事。當時距離該版本發布已近兩小時。

攻擊者掌握三名開發者的 GitHub 憑證。週一，LiteLLM 擴大了發佈權限，讓兩名工程師可以每日為客戶推出修正。攻擊者利用其兩名 GitHub 組織擁有者之一的權杖，關閉分支保護。第二名開發者的憑證批准了正式環境發佈；該版本是從一個仿冒儲存庫 Berri-AI/litellm 建置而成。第三名開發者刪除了工作流程記錄。

被竊金鑰遭到利用

根據安全公司 Wiz 的説法，該套件包含憑證竊取程式和後門。兩者都設定為在 Python 啟動時執行。竊取程式取得了瀏覽器密碼和 Cookie、雲端金鑰、SSH 金鑰，以及 AI 服務的 API 金鑰。它亦擷取 LiteLLM 代理伺服器資料庫中儲存的 AI 供應商金鑰。

後門只在 Linux 和 macOS 上運作。它每小時檢查一個 GitHub 儲存庫，尋找可供下載更多程式碼的伺服器。Wiz 表示，該儲存庫只存放測試用數值，GitHub 已將其移除。Wiz 補充，這款惡意軟件有明顯跡象顯示曾藉助 AI 編寫。

Wiz 引述 ClickPy 的數據指出，遭植入惡意程式的版本約有 49,000 次下載。竊取事件約四個半小時後，Wiz 發現攻擊者測試遭竊的 Amazon Web Services 憑證。這些憑證來自建置伺服器和 Kubernetes 節點。測試包括列出 Amazon Bedrock 上的模型。Wiz 表示，這符合 LLMjacking 的特徵，即利用遭竊的雲端存取權限執行 AI 模型。

「同時使用 .pth 檔案和 sitecustomize.py 的雙重技術手法，似乎是首宗有記錄的真實環境案例。」Wiz 研究人員 Benjamin Read 和 Rami McCarthy 寫道。

這宗攻擊發生的同一天，亦出現了兩個嚴重 PHP 漏洞。

今年第二宗攻擊事件

這是 LiteLLM 在 2026 年第二次遭入侵。3 月，有兩個受污染版本在 PyPI 上存放了約 40 分鐘。LiteLLM 追查後發現，這次攻擊源自其建置流程中的安全掃描器 Trivy。黑客也利用 Trivy 入侵歐盟委員會。AI 數據公司 Mercor 亦遭到攻擊，Meta 更暫停了與該公司的 AI 數據工作。

供應鏈安全公司 Socket 向The Hacker News表示，未發現證據顯示兩次攻擊有關聯。Socket 指兩次攻擊使用的加密金鑰、資料外傳方式及後門程式均不相同。

「這不能排除同一個操作者使用不同工具的可能，但我們沒有證據支持這種歸因。」Socket 表示。

LiteLLM 建議用戶鎖定版本 1.106.2，或使用其他在攻擊發生前發布的版本；刪除三個惡意檔案，並輪換所有受影響機器可存取的密鑰。LiteLLM 表示，從其私有套件庫提取套件的企業客戶並未受到影響。