生成AI向けのオープンソースソフトウェア「LiteLLM」の正規配布パッケージに、悪意あるプログラムが混入していたことがわかった。対象は2026年10月21日に公開されたバージョン「1.107.0」で、PyPIのパッケージや公式Dockerイメージに含まれていた。不正なパッケージを導入した場合、認証情報の窃取や外部から取得したコードの実行につながるおそれがある。
事案の詳細
開発元は現地時間2026年10月21日、「LiteLLM 1.107.0」に不正なプログラムが混入したことを明らかにした。リリース工程が侵害され、正規の配布経路を通じて悪意あるソフトウェアが拡散した、ソフトウェアサプライチェーン攻撃とみられている。
影響を受けたのは、PyPIで公開された「LiteLLM 1.107.0」のパッケージおよび同バージョンの公式Dockerイメージ。PyPIからは不正なバージョンが削除され、公式Dockerイメージもレジストリから削除されたと報じられている。公開されていた時間やダウンロード数などの詳細は、情報源によって差異があるため現時点で確定できない。
JFrogなどの調査によると、パッケージには認証情報を窃取するコードと、外部から取得したコードを実行する機能が含まれていた。インストール時に「cook.pth」「cook.py」「sitecustomize.py」の3ファイルが配置され、Pythonの起動時に自動実行される仕組みが悪用されていたため、アプリケーションが「LiteLLM」を明示的に読み込まなくても不正コードが動作する可能性があった。
窃取対象には、AWS、Azure、Google Cloud、Kubernetes、Dockerなどのクラウド関連認証情報、Git・GitHub・npm・PyPIなどの開発者向け認証情報、SSHやGPGの秘密鍵、環境変数や「.env」ファイル、ブラウザに保存された認証情報やCookieが含まれる。また、「LiteLLM」が利用するデータベースから、生成AIサービスのAPIキーやモデル設定を取得する機能も確認されている。
セキュリティ各社の分析によると、GitHub上の公式の1.107.0タグには不正なコードは含まれておらず、PyPIで配布されたパッケージをつくる工程（ビルド設定）が改ざんされていた。不正な3ファイルはライブラリのフォルダー直下に置かれるため、LiteLLMのパッケージを削除しても残り続け、その環境でPythonやpipを動かすたびに再び実行されるおそれがある。対処としては、影響のないバージョン（1.106.2）に固定したうえで3ファイルを削除し、その環境から到達できた認証情報をすべて再発行することが推奨されている。
不正プログラムが実際に情報を窃取したか、外部から取得したコードが実行されたかなど、個々の環境における侵害状況や具体的な被害範囲は、利用状況や監視記録によって異なるため、詳細は現時点で不明である。
影響と背景
今回の問題は、アプリケーション本体のコードだけでなく、パッケージのビルド・公開工程や配布イメージが攻撃対象となった事例である。正規のPyPIやDockerレジストリから取得したソフトウェアであっても、公開元のリリース工程が侵害されると、利用者の環境に悪意あるコードが入り込む可能性がある。
Pythonの起動時に自動実行される仕組みが利用されたため、LiteLLMを実際の業務処理で呼び出していない場合でも、影響を受けた環境でPythonを起動しただけで不正コードが動作した可能性がある。認証情報が窃取された場合、クラウド環境、生成AIサービス、ソースコード管理、CI/CD環境などへの不正アクセスや二次被害に波及するおそれがある。
対策・今後の展望
まず、自社の開発環境、サーバ、コンテナ、個人端末を確認し、「LiteLLM 1.107.0」や同バージョンを含むDockerイメージを使用していないかを調査する。該当する場合は、影響を受けていないバージョンへ更新し、対象環境を隔離したうえで、Pythonの起動履歴や外向き通信などのログを確認したい。
不正パッケージを導入した可能性がある環境では、AWS、Azure、Google Cloudなどのクラウド認証情報、生成AIサービスのAPIキー、GitやCI/CDのトークン、SSH・GPG鍵、ブラウザ認証情報などを侵害されたものとして扱い、速やかに無効化・再発行する必要がある。漏洩した可能性のある認証情報を同じ環境で変更する場合は、別の安全な環境から作業することが望ましい。
- 利用状況の棚卸し：社内の開発環境、サーバ、コンテナ、個人端末で「LiteLLM 1.107.0」または同バージョンのDockerイメージを使用していないか確認する。
- 認証情報のローテーション：クラウド、生成AIサービス、ソースコード管理、CI/CD、SSH、GPG、ブラウザなどに関係する認証情報を確認し、必要に応じて無効化・再発行する。
- 自動実行痕跡の確認：Pythonのライブラリディレクトリに「cook.pth」「cook.py」「sitecustomize.py」が存在しないか、Pythonの起動履歴や不審な外部通信がないかを調査する。
- 配布経路の確認：パッケージやコンテナのバージョンを固定し、ハッシュ値、署名、SBOM、依存関係を確認する運用を整備する。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、開発用PCや検証サーバが監視の網から外れている例が少なくありません。今回のようにPythonの起動時に不正コードが動作する攻撃では、LiteLLMを業務アプリケーションから直接利用していない端末も確認対象になります。また、外部サービス用の認証情報が環境変数や設定ファイルに残ったままのケースでは、被害が広がるおそれがあります。
【観点②：平易な解説】例えるなら、正規の工具箱に見せかけて、開けたときだけ動く盗聴器が仕込まれていたようなものです。今回はソフトウェアを導入した後、Pythonを起動するだけで不正な仕組みが動く可能性があり、IDやAPIキーなどの認証情報が抜き取られたり、外部から取得した命令が実行されたりする危険があります。
【観点③：今週中にできること】まず社内で「LiteLLM」の利用者、バージョン、稼働場所を確認し、特に「1.107.0」や同バージョンのDockerイメージの有無を洗い出してください。次に、クラウドや生成AIサービス、Git、CI/CDなどの認証情報を安全な環境から変更します。最後に、Pythonの起動履歴、対象ファイルの存在、不審な通信を確認し、調査結果と対応状況を一箇所で管理してください。
参照: 「LiteLLM」に不正プログラム混入 – 認証情報漏洩やコード実行のおそれ ／ Endor Labs ／ Datadog Security Labs