Am 23. Oktober 2026 korrigierte LiteLLM seine Erklärung zum Angriff auf Version 1.107.0: Der erste GitHub-Token eines Organisationsinhabers stammte laut der neuen Analyse aus dem Zugriff auf die Agent Platform mit einem zuvor öffentlich abgelegten, nicht widerrufenen Master-Schlüssel. Die manipulierten LiteLLM-Pakete und Container wurden am 21. Oktober veröffentlicht.
Vom Master-Schlüssel zu den GitHub-Tokens
LiteLLM zufolge wurde am 27. Mai 2026 eine Konfigurationsdatei mit dem Master-Schlüssel für die experimentelle Agent Platform in einem öffentlichen Repository abgelegt. Der Schlüssel wurde nicht widerrufen. Am 10. Oktober nutzte der Angreifer ihn, um auf die Agent Platform zuzugreifen und den GitHub-CLI-OAuth-Token eines Organisationsinhabers abzurufen. Anschließend beschaffte er über Workflows die Tokens von zwei Maintainerinnen oder Maintainer.
Damit ersetzte LiteLLM die frühere Erklärung, der erste Token sei aus Bereitstellungsprotokollen abgeflossen. Mit den kompromittierten Zugangsdaten veränderte der Angreifer den Release-Workflow und leitete ihn auf das täuschend ähnliche Repository Berri-AI/litellm um. Das offizielle Repository heißt BerriAI/litellm.
Die wichtigsten Schritte bis zur Veröffentlichung
| Datum | Ereignis |
| 27. Mai 2026 | Eine Konfigurationsdatei mit dem Master-Schlüssel für die Agent Platform wurde öffentlich abgelegt. |
| 10. Oktober 2026 | Der Angreifer nutzte den Schlüssel für den Zugriff auf die Agent Platform und beschaffte den GitHub-Token eines Organisationsinhabers. Danach erlangte er über Workflows die Tokens von zwei Maintainerinnen oder Maintainern. |
| 21. Oktober 2026 | Der Angreifer leitete den Release-Workflow auf Berri-AI/litellm um. Manipulierte PyPI-Pakete und Container-Images wurden veröffentlicht. |
| 23. Oktober 2026 | LiteLLM veröffentlichte die korrigierte Analyse der Angriffskette. |
Betroffene PyPI-Pakete und Container-Tags
LiteLLM meldete sieben manipulierte PyPI-Wheels für litellm==1.107.0. Sie wurden am 21. Oktober zwischen 11:39:51 und 11:40:13 Uhr UTC hochgeladen; PyPI entfernte das Paket bis 13:23 Uhr UTC.
Auf Docker Hub und GHCR waren die Tags v1.107.0, latest, main-latest und main-stable betroffen. Die Container-Images wurden um 11:46:56 Uhr UTC veröffentlicht. GHCR machte die betroffenen Tags bis 13:51 Uhr UTC nicht mehr verfügbar; LiteLLM entfernte die Docker-Hub-Tags oder leitete sie bis 14:20 Uhr UTC auf bereinigte Images um.
Für die Prüfung einer Umgebung zählen deshalb der konkrete Paketstand oder Container-Tag und der Zeitpunkt, zu dem ein Image abgerufen oder ausgeführt wurde. Auch latest gehörte zu den betroffenen Tags. LiteLLM erklärte, Kunden mit Zugriff auf das private Enterprise-Registry seien von diesem Vorfall nicht betroffen gewesen.
Was die Schadsoftware tat und welche AWS-Aktivität Wiz beobachtete
Die Analyse von Wiz beschreibt drei Dateien, die das Paket in Pythons site-packages ablegte: cook.pth, cook.py und sitecustomize.py. Die Startmechanismen waren darauf ausgelegt, beim Start von Python aktiv zu werden. Laut Wiz zielte der Schadcode auf Browser-Zugangsdaten, Cloud- und KI-Diensteschlüssel, SSH- und GPG-Schlüssel, Shell-Verläufe sowie Anbieter-Zugangsdaten aus der LiteLLM-Proxy-Datenbank. Der Remote-Loader war laut Wiz für Linux und macOS vorgesehen.
Wiz schätzte anhand von ClickPy-Daten, dass Version 1.107.0 rund 49.000-mal heruntergeladen wurde. Am 21. Oktober beobachtete Wiz zwischen 16:20 und 17:01 Uhr UTC außerdem Prüfungen gestohlener AWS-Zugangsdaten, darunter Aufrufe von sts:GetCallerIdentity und Abfragen verfügbarer Modelle in Amazon Bedrock.
LiteLLMs Hinweise für betroffene Installationen
LiteLLM empfahl Nutzerinnen und Nutzern der Open-Source-Version, 1.106.2 oder eine andere ausdrücklich festgelegte Version zu verwenden, die vor dem Angriff veröffentlicht worden war. Für betroffene Umgebungen nannte das Unternehmen außerdem das Entfernen der schädlichen Startdateien, den Neuaufbau sauberer Umgebungen und den Austausch erreichbarer Geheimnisse wie API-Schlüssel.
