В релизе LiteLLM 1.107.0 обнаружены инфостилер и бэкдор

21 октября 2026 года релизный конвейер LiteLLM был скомпрометирован. В течение нескольких часов в PyPI, Docker Hub и GitHub Container Registry (GHCR) распространялась версия 1.107.0 с инфостилером и бэкдором. Проект удалил вредоносные артефакты и опубликовал разбор атаки. Об инциденте также писал «Хакер», а на Хабре уже выходили материалы с техническим разбором атаки и механизма запуска вредоноса. Наш материал — короткий обзор для операторов и пользователей ИИ-шлюзов: что произошло, чем это грозит и какие действия нужно предпринять, если 1.107.0 запускалась. Ниже основные факты, возможные последствия для пользователей ИИ-шлюзов и короткие рекомендации.

Что произошло

LiteLLM — это открытый Python SDK и ИИ-шлюз, через который приложения обращаются к моделям разных поставщиков по единому API. Это один из самых популярных ИИ-шлюзов: по данным проекта на начало октября, LiteLLM скачивают около 90 млн раз в месяц, а на GitHub у него более 60 тыс. звезд.

В PyPI зараженный пакет провисел с 14:39 до 16:23 МСК. В Docker Hub теги v1.107.0, latest, main-latest и main-stable указывали на зараженный образ с 14:46 до 17:20, в GHCR с 14:46 до 16:51. Затронуты все семь wheel-пакетов, а также образы litellm, litellm-database и litellm-non_root в GHCR.