# Атака на цепочку поставок LiteLLM компрометирует пакеты PyPI и реестры Docker с целью получения секретов

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ru/article/litellm-supply-chain-attack-compromises-pypi-and-docker-image-2026-10-22-morn-ru
Section: Software (https://technewslist.com/ru/software)
Author: TechNewsList
Language: ru
Published: 2026-10-22T06:00:08.195+00:00
Updated: 2026-10-22T06:00:08.42326+00:00

> Исследователи безопасности обнаружили вредоносный эксплойт в цепочке поставок в LiteLLM версии 1.107.0, при котором злоумышленник, взломавший аналогичный репозиторий, установил бэкдоры для сбора токенов API.

## TL;DR
- Исследователи безопасности обнаружили вредоносный бэкдор, установленный в LiteLLM версии 1.107.0 в PyPI и официальных реестрах Docker Hub.
- Скомпрометированный код активировался при импорте для очистки переменных среды, ключей AWS и учетных данных поставщика модели.
- Злоумышленники использовали похожее имя репозитория организации, чтобы подделать рабочий процесс автоматического выпуска проекта.
- Администраторы индекса пакетов Python быстро поместили зараженную версию в карантин и отозвали учетные данные издателя.
- Организациям, использующим затронутые версии, было рекомендовано немедленно заменить все ключи API и провести аудит исходящего сетевого трафика.

## Key points
- Исследователи безопасности обнаружили вредоносный бэкдор, установленный в LiteLLM версии 1.107.0 в PyPI и официальных реестрах Docker Hub.
- Скомпрометированный код активировался при импорте для очистки переменных среды, ключей AWS и учетных данных поставщика модели.
- Злоумышленники использовали похожее имя репозитория организации, чтобы подделать рабочий процесс автоматического выпуска проекта.
- Администраторы индекса пакетов Python быстро поместили зараженную версию в карантин и отозвали учетные данные издателя.
- Организациям, использующим затронутые версии, было рекомендовано немедленно заменить все ключи API и провести аудит исходящего сетевого трафика.

## Что произошло

21–22 октября 2026 года исследователи угроз кибербезопасности из Socket и независимые команды по безопасности программного обеспечения раскрыли сложную атаку на цепочку поставок, которая успешно скомпрометировала официальные пакеты выпуска LiteLLM, широко используемой библиотеки с открытым исходным кодом, которая обеспечивает унифицированную абстракцию API для нескольких крупных поставщиков языковых моделей. Вредоносная полезная нагрузка была встроена непосредственно в LiteLLM версии 1.107.0 и распространялась как по индексу пакетов Python (PyPI), так и по официальным реестрам контейнеров Docker Hub.

Криминалистический анализ показал, что злоумышленники воспользовались конвейерами автоматизированной непрерывной интеграции и непрерывного развертывания (CI/CD), создав аналогичный репозиторий организации под названием «Berri-AI/litellm», чтобы имитировать законное пространство имен проекта «BerriAI/litellm» на GitHub. Отравив зависимости исходной сборки и опубликовав поддельные артефакты пакетов, злоумышленникам удалось внедрить бэкдорные колеса в официальный поток распространения, не предупредив обслуживающего персонала.

![Жизненный цикл разработки программного обеспечения и автоматизированные конвейеры развертывания уязвимы для внедрения зависимостей пакетов.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792648045156-tq83yl-litellm-supply-chain-attack-compromises-pypi-and-docker-image-2026-10-22-morning-inside-1-c0751f3af2.webp)
*Жизненный цикл разработки программного обеспечения и автоматизированные конвейеры развертывания уязвимы для внедрения зависимостей пакетов.*

При установке или запуске контейнера зараженная библиотека выполняла запутанный сценарий инициализации, предназначенный для сбора конфиденциальных переменных среды, включая ключи доступа AWS, токены сервисных учетных записей GCP, секреты API OpenAI и учетные данные Anthropic. Собранные учетные данные были зашифрованы и переданы по внешнему каналу на контролируемый злоумышленником сервер управления и контроля, зарегистрированный в мошенническом домене облачной инфраструктуры.

## Почему это важно

Компромисс LiteLLM подчеркивает острую уязвимость современных стеков приложений искусственного интеллекта к проникновению в цепочку поставок программного обеспечения с открытым исходным кодом. Поскольку организации стремятся создавать генеративные приложения ИИ и автономные агенты, разработчики интегрировали десятки специализированных библиотек абстракций с открытым исходным кодом, часто без проведения тщательного аудита зависимостей или закрепления хэшей криптографических пакетов.

Поскольку LiteLLM служит центральным прокси-сервером, маршрутизирующим корпоративные запросы к внешним поставщикам моделей, библиотека по своей сути работает в средах, загруженных корпоративными ключами API с высоким уровнем привилегий и конфиденциальными операционными секретами. Успешный взлом этого основного шлюза дает злоумышленникам немедленный и беспрепятственный доступ к проприетарным корпоративным моделям, конфиденциальной истории запросов и базовым учетным записям облачной инфраструктуры.

Этот инцидент подчеркивает растущую изощренность синдикатов киберпреступников, нацеленных на автоматизированные инструменты разработки. Вместо того чтобы атаковать защищенный периметр предприятия напрямую, злоумышленники все чаще сосредотачивают свои наступательные ресурсы на отравлении общих зависимостей с открытым исходным кодом и автоматизированных реестров пакетов, которым современные разработчики доверяют безоговорочно.

## Технические детали

Механизм атаки был разработан с поразительной скрытностью. Злоумышленники внедрили вторичный перехват инициализации в основной файл упаковки библиотеки, скрывая полезную нагрузку в закодированной строке base64, отформатированной так, чтобы напоминать стандартные метаданные конфигурации телеметрии. Когда среда выполнения Python импортировала пакет, перехватчик декодировал находящийся в памяти сценарий, который перехватывал стандартные вызовы системной среды.

Полезная нагрузка немедленно выполнила очистку памяти, проверив словари среды процесса на наличие строк с высокой энтропией, соответствующих известным шаблонам регулярных выражений для облачных провайдеров, включая строки, начинающиеся с «sk-ant-», «sk-proj-», «AKIA» и стандартные форматы токенов носителя JWT. Вредоносная программа также запросила службу метаданных локального облачного экземпляра (IMDSv2), чтобы извлечь временные учетные данные IAM, связанные с размещением виртуальных машин.

![Рабочая станция аналитика кибербезопасности, проверяющая полезную нагрузку сетевого трафика и выявляющая конечные точки кражи.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792648047179-5229p2-litellm-supply-chain-attack-compromises-pypi-and-docker-image-2026-10-22-morning-inside-2-aae8a6c9ea.webp)
*Рабочая станция аналитика кибербезопасности, проверяющая полезную нагрузку сетевого трафика и выявляющая конечные точки кражи.*

Чтобы обойти системы обнаружения вторжений в сеть, украденные учетные данные были сжаты с помощью gzip, зашифрованы с помощью встроенного открытого ключа RSA и переданы через асинхронные запросы туннелирования DNS и трафик HTTPS POST, замаскированный под законную телеметрию с отчетами об ошибках, отправленную в поддельный аналитический домен.

Команда безопасности Python Package Index быстро отреагировала на получение предупреждения об угрозе от Socket, поместив скомпрометированную версию 1.107.0 в карантин в течение девяноста минут после официального уведомления и отозвав скомпрометированный токен публикации. Впоследствии специалисты по обслуживанию выпустили очищенные версии 1.107.1 и 1.107.2, сопровождаемые криптографическими аттестациями происхождения сборок, подписанными через Sigstore.

## Влияние на рынок и отрасль

Это раскрытие вызвало шок в экосистеме корпоративных разработчиков, вызвав экстренные проверки безопасности в тысячах организаций, использующих LiteLLM в производственных средах. Видные корпоративные пользователи, в том числе поставщики корпоративного программного обеспечения, технологические компании в сфере здравоохранения и финансовые учреждения, инициировали немедленные протоколы ротации ключей, аннулировав все учетные данные поставщиков ИИ, которые были активны во время окна компрометации.

Крупнейшие поставщики облачных услуг выпустили срочные рекомендации по безопасности для клиентов. Amazon Web Services, Google Cloud и Microsoft Azure предупредили клиентов, которые поместили испорченный образ контейнера в свои реестры эластичных контейнеров, предоставив сценарии автоматического обнаружения для выявления потенциально скомпрометированных вычислительных кластеров.

Ожидается, что этот инцидент ускорит выполнение нормативных и корпоративных требований, требующих обязательной проверки спецификации программного обеспечения (SBOM) и автоматического подписания зависимостей. Отделы корпоративных закупок все чаще требуют от поставщиков коммерческого программного обеспечения продемонстрировать строгую проверку происхождения пакетов и обеспечить герметичность, прежде чем разрешать использование инструментов искусственного интеллекта с открытым исходным кодом для производственного развертывания.

## За чем следить дальше

В ближайшие дни эксперты по безопасности опубликуют подробные отчеты об атрибуции, анализирующие инфраструктуру серверов управления и контроля, стремясь определить, была ли атака организована финансово мотивированными киберпреступниками или спонсируемым государством продвинутым постоянным злоумышленником.

Команды разработчиков, использующие LiteLLM, должны убедиться, что все локальные среды, средства запуска CI/CD и рабочие модули Kubernetes обновлены до версии 1.107.2 или более поздней, а также провести тщательную проверку журналов доступа на всех информационных панелях внешних поставщиков ИИ для обнаружения несанкционированного использования API.

Наконец, администраторы реестра с открытым исходным кодом и руководители фондов оценят более строгие политики безопасности для пакетов с высоким трафиком, включая обязательные аппаратные ключи многофакторной аутентификации для издателей, автоматическую проверку сборки пакетов и строгое предотвращение конфликтов пространства имен организации.

## Источники

- [Рекомендации по угрозам безопасности сокетов](https://socket.dev/blog/litellm-compromised-pypi-docker-supply-chain-attack): бюллетень по криминалистическим угрозам с подробным описанием хешей вредоносных пакетов, конечных точек кражи учетных данных и артефактов испорченных выпусков.
- [Отчет BleepingComputer о кибербезопасности](https://www.bleepingcomputer.com/news/security/litellm-python-ai-package-backdoored-on-pypi/): информация о количестве затронутых корпоративных загрузок, руководствах для разработчиков по исправлению ситуации и требованиях к отзыву ключей API.
- [Анализ безопасности программного обеспечения Dark Reading](https://www.darkreading.com/application-security/litellm-supply-chain-exploit-highlights-ci-cd-vulnerabilities): Техническое изучение конфигураций доверия автоматической сборки GitHub Actions и механизмов подмены имен репозиториев.

Mentions: Socket Research Team, PyPI, LiteLLM, Python Software Foundation

## Sources
- [Рекомендации по угрозам безопасности сокетов](https://socket.dev/blog/litellm-compromised-pypi-docker-supply-chain-attack)
- [Отчет BleepingComputer о кибербезопасности](https://www.bleepingcomputer.com/news/security/litellm-python-ai-package-backdoored-on-pypi/)
- [Анализ безопасности программного обеспечения Dark Reading](https://www.darkreading.com/application-security/litellm-supply-chain-exploit-highlights-ci-cd-vulnerabilities)