LiteLLM 1.107.0 piégée sur PyPI : voleur d'identifiants et porte dérobée

La version 1.107.0 de LiteLLM, bibliothèque Python très utilisée pour appeler des modèles d'intelligence artificielle, a été publiée sur PyPI et en images Docker avec un voleur d'identifiants et une porte dérobée, selon des analyses diffusées le 21 octobre 2026 par SafeDep, Socket, StepSecurity et Upwind, rapportées par The Hacker News. LiteLLM recommande d'épingler la version 1.106.2 et de renouveler tous les secrets exposés.

Comment la version 1.107.0 a-t-elle été piégée ?

Selon Oliver Jensen, de LiteLLM, l'attaquant a agi via trois comptes GitHub d'ingénieurs, apparemment à l'aide de jetons OAuth de l'outil GitHub CLI volés : un compte a déclenché l'exécution de l'outil de publication project-releaser, un autre l'a approuvée. Tous les jetons ont été révoqués, mais LiteLLM n'a pas identifié comment ils avaient été obtenus et ne peut pas garantir l'absence d'autre accès. Le paquet est en quarantaine sur PyPI et les images Docker malveillantes ont été retirées.

Sept « wheels » (macOS x86_64 et arm64, Linux aarch64 et x86_64, Windows amd64) portent la charge malveillante. L'archive tar.gz n'en contient pas, mais son fichier pyproject.toml a été modifié. La source mentionne aussi une compromission antérieure de LiteLLM en mars, rattachée à la campagne TeamPCP, au comportement similaire.

Que fait le code malveillant ?

Un fichier cook.pth contenant « import cook » s'exécute au démarrage de l'interpréteur Python, avant même l'import de LiteLLM : il suffit donc que le paquet soit installé. Un voleur d'identifiants, que StepSecurity nomme privcollect, collecte jetons cloud, clés privées, comptes de développeurs, fichiers d'identifiants d'outils d'IA, données des navigateurs Chromium et Firefox, variables d'environnement, ainsi que les identifiants et la configuration du proxy LiteLLM. Les données sont compressées puis envoyées en POST vers litellm[.]dev/healthcheck.

Une porte dérobée lance en outre un démon qui consulte toutes les heures un dépôt GitHub servant de boîte aux lettres morte (« dead drop ») : si un domaine y figure, il télécharge et exécute du code Python. Le dépôt renvoyait une erreur 404 au moment de l'analyse, mais le mécanisme permet d'exécuter du code arbitraire à tout moment.

Que faire si vous utilisez LiteLLM ?

Vérifiez si la version 1.107.0 a été installée, localement, dans un conteneur ou en intégration continue. Si oui, considérez la machine comme compromise : révoquez et remplacez les identifiants depuis un environnement sain, puis épinglez la version 1.106.2 par empreinte (digest). Le nombre de téléchargements de la version piégée n'est pas précisé, donc l'ampleur réelle reste inconnue.

Les passerelles LiteLLM étaient déjà un sujet sensible : voir notre article sur les passerelles LiteLLM exposées avec une clé d'administration par défaut.

Source

• The Hacker News — LiteLLM Compromised in Supply Chain Attack Delivering Credential Stealer and Backdoor