Разбор инцидента LiteLLM 1.107.0: как увели релизный конвейер и почему подпись не помогла

В сфере искусственного интеллекта произошло заметное событие. coylOne 2 минуты назад Краткое содержание статьи Разбор инцидента LiteLLM 1. 0: как увели релизный конвейер и почему подпись не помогла Средний 7 мин 0 Информационная безопасность * Искусственный интеллект DevOps * Python * Кейс ой ой ой, опасный контейнер! 21 октября 2026 года на PyPI вышел litellm==1.

0 со стилером учётных данных, а образы Docker с тем же тегом оказались заражены. LiteLLM — один из самых популярных open-source LLM-шлюзов: он хранит ключи ко всем вендорам моделей, которыми пользуется команда. Для LiteLLM это второй такой случай за год: в марте 2026 были скомпрометированы версии 1.

Технические детали

Нас инцидент не затронул: у себя мы используем собственный шлюз, KTMS. Но разбирать его интересно независимо от того, какой шлюз у вас. Самое поучительное здесь не стилер, а то, как он прошёл через релизный конвейер, который после мартовского инцидента специально укрепляли.

Расследование продолжается. Факты ниже взяты из отчёта BerriAI (обновление 21. 10, 20:30 UTC), разбора StepSecurity, Wiz и Socket.

Перед публикацией сверить с последним обновлением отчёта. ХронологияВремя UTC, 21 октября 2026, по отчёту BerriAI:ВремяСобытие10:08:29Защита веток отклоняет неавторизованную правку приватного релизного workflow10:08:34Токеном привилегированного аккаунта защиту обходят и применяют правку10:46:39Изменённый workflow запускает staging-сборку из репозитория-двойника Berri-AI/litellm11:08:53Стартует продакшен-конвейер11:11:18Токен второго разработчика проходит шаг ручного одобрения11:39:51Семь заражённых wheel-файлов загружены на PyPI11:46:56Публикуются образы Docker; теги v1. 0, latest, main-latest, main-stable указывают на заражённый индекс11:53:49Токеном третьего разработчика удаляются записи о запусках workflow12:06О компрометации сообщают в issue BerriAI/litellm#4782612:09–12:24Изменённый workflow откатывают~13:23PyPI убирает 1.

Отраслевые последствия

013:51Теги на GHCR недоступны, Docker Hub ещё отдаёт заражённый образ14:20Все затронутые теги Docker Hub удалены или перенаправлены на чистые образыОт первой правки workflow до публикации прошло полтора часа. Заражённый пакет пролежал на PyPI около 1 ч 45 мин, образ под плавающими тегами Docker Hub — около 2 ч 30 мин. 0 в исходном репозитории чистый: артефакты собраны из чужого кода.

Клиентов приватного enterprise-реестра, по словам BerriAI, инцидент не затронул. примерный таймлайн инцидентаКак устроена атакаЧто было до атакиПосле мартовского инцидента BerriAI перестроила выпуск релизов:релизный кандидат, тесты, сборка артефактов в приватном репозитории, повторные тесты;публикация через Trusted Publishers с отдельного аккаунта;неизменяемые теги Docker для релизов;подписанные образы Docker. Это заметно лучше среднего по open source.

И всё же атака прошла. Пять шагов атакующегоОкно расширенных прав. За день до атаки двум инженерам временно выдали права на публикацию, чтобы выпустить бэкпорты исправлений.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.