LiteLLM v1.107.0へのサプライチェーン攻撃が発覚——2度の侵害がメンテナーアカウントのリスクを浮き彫りに

2025年10月21日、LiteLLM v1.107.0の悪意あるパッケージがPyPI上に約2時間公開され、DockerのlatestタグはAは約3時間にわたり悪意あるイメージを指し示していた。このバックドアはPython起動時に自動実行され、OpenAI・Anthropic・AWS・Azure・GCP・HuggingFaceをはじめとする全主要AIおよびクラウドサービスの認証情報を標的に窃取した。

事実の経緯

攻撃者は盗み出した3名のLiteLLMメンテナーのGitHub OAuthトークンを悪用し、リリースプロセスを改ざんして悪意あるバージョンの公開を引き起こした。PyPI上の悪意あるパッケージが存在していた時間帯はUTC 11:39〜13:23、Docker v1.107.0・latest・main-latest・main-stableタグの悪意あるイメージが配信されていた時間帯はUTC 11:46〜14:20であった。それ以前のバージョンはすべて安全であり、影響を受けたバージョンはすでに削除されている。最新の安全なバージョンはv1.106.2である。

複数の独立した情報源によると、攻撃者はパブリックネットワークに公開されていたLiteLLMの内部デプロイ環境で予期せぬユーザーアカウントを発見し、そのログからトークンを取得したとされる。悪意あるコードはPythonの起動ファイルに埋め込まれており、アプリケーションがLiteLLMを読み込むかどうかにかかわらず実行される。このコードはAWS・Azure・Google Cloud・Kubernetes・Dockerの認証情報に加え、Git・SSH・GPGキー、ブラウザのログイン情報、LiteLLMプロキシデプロイのデータベースに保存されたモデル設定を収集する。

攻撃手法の分析

悪意あるコードは収集したデータを暗号化してlitellm[.]devドメイン配下のヘルスチェックアドレスへ送信し、GitHubファイルを定期的にポーリングして後続のリモートコード実行命令を受け取る仕組みになっていた。Socketの分析によれば、当該バージョンはmacOS・Linux・Windowsの7つのビルドすべてに悪意あるコンポーネントが含まれていた。ビルド記録では、ソースリポジトリ名が「Berri-AI/litellm」となっており、正規の「BerriAI/litellm」とは1文字だけ異なっていた。

Wizの研究者が観察したところ、データが被害者のシステムから流出してから約4.5時間後、攻撃者はCIランナーおよびKubernetesノードから取得したAWS認証情報の有効性を検証し、Amazon Bedrock上のAIモデルへのアクセス可否を確認し始めていた。

業界への影響

LiteLLMは企業向けAIエージェントデプロイにおける重要な中間レイヤーとして、複数のモデルプロバイダーとクラウドサービスを接続している。年内2度目となるサプライチェーン侵害は、このツールチェーンを利用する企業のデプロイセキュリティに直接影響を与えた。v1.107.0をインストールしたことがある企業は、認証情報が漏洩したものとみなしてローテーションを実施する必要がある。プライベートレジストリを使用している顧客への影響はない。

今回の攻撃は、AIインフラのメンテナーアカウントが組織的に標的にされるという構造的リスクを露わにした。収集された認証情報にはCodex・Claude・Gemini・Cursorの認証ファイルが含まれており、攻撃者がAI開発環境に対して体系的な関心を持っていることが示されている。

戦略的評価

（本段は分析であり、確認済みの事実ではない）LiteLLMで発生した2度の事件はいずれもメンテナーアカウントの侵害を通じてリリースパイプラインへの不正アクセスが行われており、AIツールチェーンの中間レイヤーが高価値な標的と化していることを示している。企業は特定のオープンソースプロキシツールへの依存度を再評価する必要があり、とりわけそのツールがマルチクラウド・マルチモデルの認証情報を同時に扱う場合はなおさらである。過去のサプライチェーン攻撃の事例が示すように、短い時間窓口であっても長期にわたる認証情報の悪用につながる可能性があり、多要素認証の導入とリリースプロセスの隔離を優先的に実施することが推奨される。