LiteLLM 1.107.0にマルウェア混入、Microsoftが侵害手口と復旧手順を公開

何が発表されたか

Microsoft Security Blog は2026年10月23日、AIゲートウェイのOSS「LiteLLM」のバージョン1.107.0に悪意あるコードが混入していたとする分析を公開した。

• 改ざんされた 1.107.0 は2026年10月21日に PyPI へ公開され、公式コンテナイメージでも配布された。影響を受けるのは 1.107.0（wheel とコンテナイメージ）のみ。
• LiteLLM のメンテナによれば、開発者のGitHub資格情報が盗まれてリリースワークフローが類似リポジトリ（Berri-AI/litellm）へ向けられ、別の開発者アカウントの資格情報で本番承認の手順が通された。最初に上流への侵入が起きた経路は特定されていない。
• 混入したコードは cook.pth / cook.py / sitecustomize.py を追加する。これらはPythonインタプリタの初期化時に実行されるため、LiteLLM を import しなくても動作する。
• 収集対象は開発者向け・AIツールの設定、ソース管理とパッケージの資格情報、クラウド資格情報、ブラウザのデータと履歴、プロセスの環境変数、SSH/GPG/TLS の鍵、LiteLLM プロキシのDBレコード。AES-256-CBC で暗号化し、鍵をRSAで包んで攻撃者のエンドポイントへ送信する。
• Unix系では追加のPythonコードを遠隔から取得して実行できるローダも含まれていた。Microsoftは実際に実行された確認は取れておらず、調査した配置先のファイルは空だったとしている。
• Microsoftは Windows で、無関係な pip install が収集処理を起動した事例も観測したとしている。

取るべき対応

影響範囲は広い。開発者のPC、CI/CDのエージェント、テスト環境、コンテナ、AIゲートウェイのホストなど、1.107.0 を入れた・ミラーした・イメージをビルドしたすべての環境が対象になる。該当する場合、Microsoftは次を推奨している。

• キャッシュ、ミラー、ロックファイル、ビルド成果物、イメージまで含めて該当する複製をすべて洗い出し、公開されているハッシュと照合する。
• 疑いのある環境で Python や pip を実行しない。調査はクリーンな別環境の信頼できるツールから行う。
• パッケージを削除するだけでは復旧にならない。検証済みの成果物から再構築する。
• クリーンな端末から、到達しうる資格情報をすべてローテーションする。モデルプロバイダのAPIキー、クラウドとCI/CDのシークレット、各種トークン、SSH/GPGの鍵、ブラウザのセッションが対象。該当するIDのセッションは無効化する。
• 今後に向けて、ハッシュを固定したロックファイル、コンテナのダイジェスト指定、レビュー済みの内部ミラー、外向き通信の制限を使う。

Microsoft Defender for Endpoint では2026年10月22日時点で検知（Trojan:PyPI/LiteLlmSupplyChain.A など）が提供されており、記事には advanced hunting 用のクエリも掲載されている。