По данным мониторинга AI News 1M, основатель OpenAI Андрей Карпати опубликовал сообщение о том, что цепочка поставок атак на инструмент разработки AI-агентов LiteLLM является «одной из самых страшных вещей в современной программной инженерии». Ежемесячное число загрузок LiteLLM достигает 97 миллионов, а версии v1.82.7 и v1.82.8, содержащие вредоносный код, были удалены из PyPI.
Достаточно выполнить команду pip install litellm, чтобы украсть SSH-ключи, облачные учетные данные AWS/GCP/Azure, конфигурации Kubernetes, git-учетные данные, переменные окружения (включая все API-ключи), историю команд shell, криптокошельки, SSL-приватные ключи, ключи CI/CD и пароли баз данных. Зловредный код шифрует данные с помощью RSA 4096 и передает их на маскированный домен models.litellm.cloud, а также пытается создать привилегированный контейнер в пространстве имен kube-system Kubernetes-кластера для установки постоянного бэкдора.
Еще более опасна его заразность: любой проект, зависящий от LiteLLM, может быть заражен, например, команда pip install dspy (зависит от litellm>=1.64.0) также активирует вредоносный код. Вредоносные версии на PyPI существуют всего около часа, что иронично: у злоумышленников есть баг в их собственном вредоносном коде, вызывающий исчерпание памяти и сбой системы. Разработчик Каллум МакМахон при использовании плагина MCP в инструменте AI-программирования Cursor обнаружил, что LiteLLM, будучи транзитной зависимостью, был подтянут автоматически, и после установки система сразу же вышла из строя, что и выявило атаку. Карпати отметил: «Если злоумышленники не используют vibe code для этой атаки, она может оставаться незамеченной несколько дней или даже недель».
Организация TeamPCP в конце февраля использовала уязвимость Trivy в CI/CD-пайплайне LiteLLM, встроенном в GitHub Actions, для проникновения через неправильную настройку, похищения токена публикации на PyPI и последующей обхода GitHub для загрузки вредоносных версий напрямую на PyPI. Представитель команды поддержки LiteLLM, CEO Berri AI Krrish Dholakia, заявил, что все токены публикации были удалены, и планируется перейти на систему доверенной публикации на основе JWT. PyPA выпустила информационное сообщение PYSEC-2026-2, в котором рекомендуется всем пользователям, установившим уязвимые версии, считать, что все учетные данные в их окружении скомпрометированы, и немедленно их сменить.
Отказ от ответственности: Информация на этой странице может поступать от третьих лиц и не отражает взгляды или мнения Gate. Содержание, представленное на этой странице, предназначено исключительно для справки и не является финансовой, инвестиционной или юридической консультацией. Gate не гарантирует точность или полноту информации и не несет ответственности за любые убытки, возникшие от использования этой информации. Инвестиции в виртуальные активы несут высокие риски и подвержены значительной ценовой волатильности. Вы можете потерять весь инвестированный капитал. Пожалуйста, полностью понимайте соответствующие риски и принимайте разумные решения, исходя из собственного финансового положения и толерантности к риску. Для получения подробностей, пожалуйста, обратитесь к
Отказу от ответственности.
