攻撃の詳細
2026年10月21日、LiteLLM 1.107.0のバージョンがサプライチェーン攻撃を受け、Pythonパッケージリポジトリ（PyPI）および公式コンテナチャネルを通じて悪意のあるパッケージが公開されました。この攻撃で懸念されるのは、アプリケーション内でLiteLLMライブラリを呼び出さなくてもマルウェアが動作する点であり、脆弱性のあるパッケージが含まれる環境でPythonインタプリタが起動すると同時に自動的に有効化されます。
動作メカニズムと脅威
攻撃者はPythonの起動ファイル（cook.pthやsitecustomize.pyなど）を悪用し、バックグラウンドで悪意あるコードを実行しました。このコードは以下を含む機密性の高い認証情報を収集します。
- AIモデルプロバイダーのAPIキー
- クラウドの認証情報および開発環境（CI/CD）のアクセストークン
- ブラウザのデータおよびクッキー
- SSHおよびGPGキー
収集されたデータはAES-256-CBCアルゴリズムで暗号化された後、攻撃者が制御するサーバーへ送信されます。また、影響を受けたバージョンにはUnixシステム向けのカスタム「ローダー」が含まれており、追加のPythonコードをリモートから取得して実行する能力を持っています。これにより、攻撃者は新しいパッケージを公開することなく自身のツールを柔軟に更新することができます。
なぜこのニュースが重要なのか
この侵害は、LiteLLMがアプリケーションとAIモデルの間の仲介ゲートウェイとして使用されているため、インフラストラクチャに対する広範なアクセス権限を持っていることから、甚大な危険をもたらします。また、Pythonの起動時に有効化されるため、LiteLLMの機能が直接使用されていない場合でも、開発者のワークステーション、CI/CDクライアント、コンテナのすべてが危険にさらされます。
対応と復旧措置
マイクロソフト社は、パッケージを削除するだけでは環境のクリーンアップとして不十分であると強調しています。組織は以下の手順を実行する必要があります。
- 隔離と調査： 悪意あるコードの有効化を避けるため、不審な環境内で python や pip を実行せず、外部のスキャンツールを使用する。
- 徹底的なクリーンアップ： Pythonライブラリのパスから cook.pth、cook.py、sitecustomize.py の各ファイルが確実に削除されていることを確認する。
- 認証情報のローテーション： 影響を受けた環境で使用可能だったすべての認証情報が侵害されたと見なし、APIキー、アクセストークン、パスワードのローテーションを直ちに開始する。
- セキュリティの強化： ハッシュで固定されたロックファイルを使用し、変更可能なタグ（Mutable tags）ではなくコンテナのダイジェスト（Digests）に依存する。