AIゲートウェイ「LiteLLM」に不正コード混入、認証情報窃取とバックドア機能が発覚

要点

• AIゲートウェイツール「LiteLLM」のリリースパイプラインが侵害され、悪意あるコードを含むバージョン「1.107.0」が公開された。

• 混入したパッケージには、クラウドやAIツールの認証情報を盗み出す機能と、遠隔からコードを実行するバックドアが含まれていた。

• 攻撃者は一時的に緩和された社内のリリース権限を悪用し、ブランチ保護を解除して改ざんコードを強制プッシュしていた。

• セキュリティ企業Wizは、流出したAWS認証情報を用いてAIリソースを探索する不正アクセスを観測したと報告している。

• 複数の大規模言語モデル（LLM）への接続を仲介するオープンソースツール「LiteLLM」の開発チームは、リリースパイプラインが侵害され、不正なパッケージが外部に公開されたと発表した。2026年10月21日に配布されたこのバージョンには、機密情報の窃取と外部からの遠隔操作を可能にする機能が仕込まれていたという。

侵害の概要と影響を受けたバージョン

LiteLLMの開示によると、リリースパイプラインへの不正侵入は太平洋標準時（PST）の2026年10月21日午前4時頃に発生した。Pythonの公式パッケージリポジトリ「PyPI」でバージョン「v1.107.0」が公開されたほか、コンテナ管理環境Dockerの共有リポジトリ「Docker Hub」やGitHubの「GHCR」でも、v1.107.0やlatest、main-latest、main-stableといったタグで不正なイメージが公開された。

影響を受けるのは、協定世界時（UTC）の11時39分から13時23分の間にpipでバージョン固定（ピン留め）をせずにLiteLLMを取得したユーザー、およびUTCの11時46分から14時20分の間に該当Dockerイメージを使用したユーザーであると報告されている。

情報窃取と遠隔操作を行う二重の仕掛け

毒入れされたパッケージには、認証情報を窃取する機能と、外部サーバーから毎時コードを取得・実行する「リモートアクセストロイの木馬（RAT：遠隔操作マルウェア）」の機能が組み込まれていた。

具体的には、Python起動時に自動読み込みされるパスファイル「cook.pth」を悪用して「cook.py」を実行し、難読化を解除した情報収集ルーチン「privcollect」を走らせていた。これにより、システム環境、Webブラウザ、開発者ツール、クラウド環境、AIツールに関する秘密情報を収集し、「litellm[.]dev/healthcheck」宛てにHTTP POSTリクエストで外部送信していたという。

さらにLinuxおよびmacOS向けに「sitecustomize.py」も仕込まれていた。セキュリティ企業Aikidoのリサーチャーであるイリヤス・マカリ（Ilyas Makari）氏によると、このスクリプトは常駐デーモンを起動し、多重起動防止ロック（/tmp/remote_code_loader.lock）を確保した上で、1時間ごとにGitHub上のファイルから攻撃者のC2（指令）サーバーのドメインを取得して外部コードを実行する仕組みだった。クラウドセキュリティ企業Wizは、.pthファイルとsitecustomize.pyを同時に悪用する手法について、実環境の攻撃で確認された初の事例と指摘している。なお、C2ドメインが書かれていたファイルは、GitHubによる削除前には初期のテスト値のみが登録されていた。

盗まれたAWS認証情報の悪用と「LLMjacking」

Wizの調査では、情報流出から約4.5時間後には盗まれた認証情報の悪用が確認された。攻撃者は、侵害されたCIランナーやKubernetesノードから得たAWSのインスタンスロール認証情報を使い、特定のIPアドレス（168.100.8[.]57、165.227.201[.]8）からUTCの16時20分から17時01分の間に接続を試みた。

接続時には「sts:GetCallerIdentity」で認証情報を検証後、Amazon Bedrockのモデル一覧を取得するAPI（bedrock:ListFoundationModelsなど）を呼び出していたという。Wizはこの挙動について、他者のクラウドアカウントを悪用してAIリソースを無断利用する「LLMjacking」の手口と一致すると指摘している。一部の環境ではIAMの権限列挙やアカウント情報の探索といった偵察行為も行われていた。

一時的な権限拡張を突かれた侵入経路

LiteLLMは2026年3月にも同様のサプライチェーン攻撃を受けており、リリースリポジトリの分離やDockerタグの変更不可（イミュータブル）化、イメージ署名などパイプラインを強化していた。

しかし、顧客向けの不具合修正を迅速に行うため、10月19日に社内エンジニア2名に対してリリース権限を一時的に拡張していた。攻撃者は事前にアクセスを得ていた開発者のGitHub CLI認証情報3セットを悪用。ワークフロー実行権限や組織オーナーのトークンを使ってブランチ保護ルールを無効化し、改ざんコードを強制プッシュした。その後、ワークフローを実行して類似の偽リポジトリへ誘導し、不正パッケージの公開に至ったと説明されている。