LiteLLM : une version 1.107.0 piégée publiée par son propre pipeline

Comment c'est arrivé

LiteLLM explique qu'une clé d'administration d'une plateforme d'agents interne a été publiée le 27 mai dans un dépôt public et n'a jamais été révoquée. Le 10 octobre, l'attaquant l'a utilisée pour obtenir le jeton GitHub d'un propriétaire de l'organisation, puis a lancé des workflows éphémères qui ont envoyé des secrets de CI, dont les jetons de deux autres mainteneurs, vers un serveur externe. Le 21 octobre, le jeton du propriétaire a contourné la protection de branche, le jeton d'un second mainteneur a validé la mise en production, et la version a été construite depuis un dépôt aux allures de l'original. La façon dont l'attaquant a trouvé la clé n'est pas publique.[1][2][4] Vérifié le 8 nov. 2026

Ce qui a été volé

Côté LiteLLM : la clé de la plateforme d'agents, les jetons GitHub de trois mainteneurs, des secrets de CI et tous les secrets de dépôts privés visés le 12 octobre, et des jetons d'autres systèmes internes et plateformes de fournisseurs. Le paquet malveillant collecte lui-même les identifiants des machines où il s'exécute : cloud, SSH, Git, Kubernetes, CI et variables d'environnement, et sur les hôtes proxy les clés de fournisseurs. Microsoft n'a pas confirmé qu'une seconde étape ait été récupérée. Le nombre d'hôtes qui ont perdu des données n'est pas public.[1][2][3] Vérifié le 8 nov. 2026

Qui est touché

Toute personne ayant installé ou lancé litellm 1.107.0 ou les tags Docker concernés pendant leur mise en ligne. PyPI : de 11 h 39 à 13 h 23 UTC. Docker Hub : de 11 h 46 à 14 h 20 UTC. GHCR : jusqu'à environ 13 h 51 UTC. LiteLLM indique que les clients entreprise qui tirent depuis son registre privé n'ont pas été touchés. Les nombres de téléchargements ou de victimes ne sont pas publics.[2] Vérifié le 8 nov. 2026

Acteur

Non attribué. Aucune attribution. LiteLLM, Microsoft et The Hacker News ne nomment aucun acteur.

Chronologie

1. 27 mai 2026Une clé d'administration de la plateforme d'agents interne de LiteLLM est publiée dans un dépôt public. Le fichier est supprimé environ trois heures plus tard, mais la clé n'est pas révoquée. [1]
2. 10 oct. 2026L'attaquant utilise la clé pour obtenir le jeton GitHub d'un propriétaire de l'organisation, puis exfiltre des secrets de CI, dont les jetons de deux autres mainteneurs. [1]
3. 21 oct. 2026litellm 1.107.0 malveillant est mis en ligne sur PyPI à 11 h 39 UTC, puis sur Docker Hub et GHCR à 11 h 46 UTC. Un chercheur le signale dans un ticket GitHub une vingtaine de minutes plus tard. PyPI le met en quarantaine avant 13 h 23 UTC. [1][2]
4. 23 oct. 2026Microsoft publie son analyse de la charge malveillante. LiteLLM publie son analyse de cause racine et traite tous les jetons comme exposés. [1][3]
5. 30 oct. 2026LiteLLM précise qu'elle a renouvelé le 23 octobre sa clé de signature d'images cosign. Les images compromises portent une signature valide de l'ancienne clé. [2]