Microsoftは2026年10月23日、LiteLLM 1.107.0の改ざん版による認証情報窃取の調査結果を公表しました。改ざん版は2026年10月21日に、Pythonパッケージの配布基盤であるPyPIと公式コンテナイメージで配布されました。影響環境ではLiteLLMを読み込まなくても、Pythonを起動するだけで不正な処理が動く恐れがあります。
導入先だけでなく、開発・ビルド環境も確認対象
LiteLLMは、アプリとモデル提供者をつなぐゲートウェイとして使われます。今回の攻撃は、ソフトウェアの配布経路を通じて利用者に不正なコードを届ける、サプライチェーン攻撃です。
LiteLLM保守担当者によると、盗まれた開発者のGitHub認証情報で公開処理が書き換えられ、参照先が偽装リポジトリに変更されました。さらに、別の開発者アカウントの認証情報が本番公開の承認に使われました。ただし、Microsoftは初期侵入の経路や認証情報の入手方法を独自には特定していません。
Microsoftは、Pythonの起動処理を悪用する2系統の実行経路を確認しました。不正な起動用ファイルは通常のLiteLLMディレクトリの外に置かれていました。このため、パッケージや公開タグを削除するだけでは復旧に不十分としています。
確認対象は稼働中のサービスに限りません。開発端末、CI/CDと呼ばれるビルド・配備の自動化環境、テスト環境、コンテナも影響を受け得ます。日本での提供は発表には書かれていません。
クラウドの認証情報も収集対象、起動だけで流出確定ではない
収集対象には、開発ツールやAIアプリの認証・設定ファイルに加え、AWS、Azure CLI、Google Cloudの認証情報が含まれます。ブラウザの認証関連データや閲覧履歴、SSH関連情報も対象でした。Linuxでは、読み取り可能な他のプロセスの環境変数も収集対象です。
条件が整えば、LiteLLMプロキシのデータベースから認証・モデル設定情報の取得も試みます。収集データを暗号化し、攻撃者が管理する接続先へ送信する仕組みでした。
MicrosoftはWindowsとmacOSで、収集・暗号化・外部接続に合致する挙動を観測しました。Windowsでは、無関係な依存関係のインストール時に収集処理が起動した例も報告しています。ただし、Pythonが起動した事実だけでは、情報収集や送信の完了までは断定できません。Unix系向けの追加コードを取得・実行する仕組みもありましたが、その実行は未確認です。
影響する会社・しない会社
- 影響する: 改ざんされたLiteLLM 1.107.0を導入した会社です。本番環境だけでなく、開発端末やビルド・テスト環境、コンテナも確認対象です。
- 影響する: 配布物をキャッシュ、社内ミラー、ビルド成果物、イメージに保持している会社です。現在の導入先とは別に、再利用される配布物の確認が必要です。
- 影響しない: 影響を受けない版や構成の一覧は、発表には書かれていません。LiteLLMを直接読み込んでいないことだけでは、対象外と判断できません。
