LiteLLM 团队已查明，上周发生的供应链攻击源头可追溯至一个泄露的主密钥。
此次涉及云端及 AI 模型窃取的事件始于上周三。当时，一款针对热门开源 AI 网关 LiteLLM 的恶意版本（1.107.0）被上传至 PyPI 及其容器注册表。该篡改版本内置了信息窃取程序和远程访问木马，具备在受感染主机上执行任意代码的能力。
安全公司 Wiz 指出，尽管植入木马的包在 PyPI 上存活时间不足两小时即被隔离，但在此期间已录得约 49,000 次下载。
攻击链溯源：未撤销的主密钥
周五，LiteLLM 发布了详细的事件复盘报告，将攻击链回溯至 5 月 27 日。当时，包含主密钥的配置文件被错误提交至公共仓库 LiteLLM-Labs/lite-harness。该项目是 LiteLLM 内部用于编排 AI 代理的工具。虽然开发人员迅速发现并删除了暴露该密钥的提交记录，但未对主密钥本身进行撤销操作。
根据复盘报告，攻击者于 10 月 10 日利用这一泄露的主密钥入侵 LiteLLM 代理平台，并提取了 GitHub CLI OAuth 令牌。自此，威胁行为者获得了对所有 GitHub 仓库的所有者级访问权限。
这一情况尤为严重，因为 GitHub CLI 令牌通常绕过双因素认证（2FA），不会触发 GitHub 的 sudo 模式认证流程——该流程通常在执行高影响仓库操作时才会要求二次验证。
横向移动与凭证窃取
凭借该令牌，攻击者得以向其他内部仓库分支创建恶意提交，其中包括旨在窃取持续集成（CI）过程中可用令牌和秘密的工作流。通过这一手段，攻击者进一步窃取了另外两名拥有维护权限工程师的 GitHub CLI OAuth 令牌。
LiteLLM 表示，攻击者还获取了其他内部系统的令牌。审查显示，攻击者在这些系统中的活动主要致力于识别和提取额外密钥与令牌，重点目标为上游推理 API 令牌。由于相关操作和审批看似来自合法且具备资格的工程师账号，因此未引起任何怀疑。
恶意软件功能与用户建议
隐藏在破解包中的信息窃取器设计用于收集大量敏感数据，包括：
- 浏览器凭证及来自 Chrome、Firefox、Edge 和 Safari 的 Cookie；
- AWS 凭证、Google Cloud Platform 服务账户密钥及应用程序默认凭证；
- Microsoft Azure 令牌；
- OpenAI、Anthropic、Cohere 及其他 LLM 提供商的 API 密钥。
作为应对措施，LiteLLM 开发人员正在撤销与每个内部系统和供应商平台相关的所有令牌。公司在声明中强调，此事件凸显了未能轮换可能暴露密钥所带来的巨大风险。
LiteLLM 警告称，如果用户安装并运行了 1.107.0 版本，应假设受影响系统上所有可访问的凭据均可能已被盗取。建议用户立即调查受影响的系统，更改密码，并轮换所有暴露的密钥。
