Détails de l'attaque
Le 21 octobre 2026, la version LiteLLM 1.107.0 a subi une compromission de sa chaîne d'approvisionnement, un package malveillant ayant été publié sur le dépôt de packages Python (PyPI) et via les canaux de conteneurs officiels. Ce qui est préoccupant dans cette attaque, c'est que le logiciel malveillant ne nécessite pas l'appel de la bibliothèque LiteLLM dans l'application pour fonctionner ; il est activé automatiquement dès le démarrage de l'interpréteur Python dans un environnement contenant le package compromis.
Mécanisme de fonctionnement et menaces
Les attaquants ont exploité les fichiers de démarrage de Python (tels que cook.pth et sitecustomize.py) pour exécuter du code malveillant en arrière-plan. Ce code collecte des identifiants sensibles, notamment :
- Les clés d'API des fournisseurs de modèles d'intelligence artificielle.
- Les identifiants cloud et les jetons d'accès pour les environnements de développement (CI/CD).
- Les données de navigation et les cookies.
- Les clés SSH et GPG.
Les données collectées sont chiffrées à l'aide de l'algorithme AES-256-CBC avant d'être envoyées vers un serveur contrôlé par les attaquants. De plus, la version compromise contient un « chargeur » (Loader) personnalisé pour les systèmes Unix, capable de récupérer et d'exécuter à distance du code Python supplémentaire, ce qui donne aux attaquants la flexibilité de mettre à jour leurs outils sans avoir à déployer un nouveau package.
Pourquoi cette nouvelle est-elle importante ?
Cette compromission représente un risque majeur car LiteLLM est utilisée comme passerelle intermédiaire entre les applications et les modèles d'intelligence artificielle, ce qui signifie qu'elle dispose de privilèges d'accès étendus à l'infrastructure. Étant donné que l'activation se produit au démarrage de Python, les postes de travail des développeurs, les agents d'intégration continue (CI/CD) et les conteneurs sont tous exposés au danger, même si les fonctionnalités de LiteLLM ne sont pas utilisées directement.
Mesures de réponse et de récupération
Microsoft souligne que la simple suppression du package ne suffit pas pour nettoyer l'environnement. Les organisations doivent prendre les mesures suivantes :
- Isolation et investigation : Ne pas exécuter python ou pip dans les environnements suspects pour éviter d'activer le code malveillant, et utiliser des outils d'analyse externes.
- Nettoyage approfondi : S'assurer de la suppression des fichiers cook.pth, cook.py et sitecustomize.py des chemins des bibliothèques Python.
- Rotation des identifiants : Considérer comme compromis tous les identifiants qui étaient disponibles dans l'environnement infecté, et procéder immédiatement à la rotation des clés d'API, des jetons d'accès et des mots de passe.
- Renforcement de la sécurité : Utiliser des fichiers de verrouillage (Lock files) épinglés par hachage et s'appuyer sur des empreintes de conteneurs (Digests) plutôt que sur des balises mutables (Mutable tags).