Laporan terkini dan ulasan riset keamanan menyebut LiteLLM 1.107.0 sebagai rilis berbahaya yang didistribusikan pada 21 Oktober 2026 melalui PyPI dan sejumlah tag container resmi. Target rollback yang dilaporkan aman adalah 1.106.2. Bagi siapa pun yang telah memasang atau menjalankan artefak terdampak, langkah penanganannya tidak cukup sekadar pembaruan biasa: isolasi lingkungan, bangun ulang dari basis yang bersih, dan rotasi kredensial yang dapat diakses.

Artefak LiteLLM mana yang dilaporkan telah disusupi

Laporan terkini menunjuk LiteLLM 1.107.0 sebagai rilis yang telah disusupi, dengan paparan yang dilaporkan mencakup paket PyPI dan image container resmi. Peringatan yang tersedia menyebut paket PyPI dan image Docker, termasuk latest dan main-stable, sedangkan laporan keamanan dari Wiz dan Aikido juga menyebut v1.107.0 serta main-latest.

Cakupan ini penting karena sebagian pengguna terdampak mungkin tidak memilih 1.107.0 secara langsung. Tim yang mengandalkan tag image bergerak dapat menarik build tercemar melalui kebiasaan deployment biasa, bukan melalui pembaruan versi yang disengaja.

Dalam cakupan yang dilaporkan tersebut, fakta utama yang saat ini tersedia adalah:

Waktu pembersihan di berbagai kanal tidak sama menurut laporan yang tersedia. Cuplikan isu GitHub terkait BerriAI/litellm menyebut PyPI telah dibersihkan, sementara tag Docker mengambang masih terinfeksi pada suatu waktu di 21 Oktober. Wiz kemudian menyatakan tag-tag tersebut telah dihapus. Hal ini mendukung gambaran umum insiden, tetapi belum menetapkan satu waktu pembersihan final.

Mengapa payload yang dilaporkan sangat berisiko

JFrog menyatakan wheel LiteLLM berbahaya tersebut menggunakan hook startup Python, sehingga payload dapat berjalan saat Python dimulai di lingkungan terdampak, tanpa perlu menunggu aplikasi mengimpor LiteLLM secara langsung. Dalam cuplikan yang tersedia, JFrog mengaitkan perilaku itu dengan file cook.pth yang diproses saat inisialisasi site Python normal.

Jika mekanisme tersebut memang ada, batas paparan menjadi lebih luas daripada sekadar pemanggilan library yang bermasalah. Menjalankan Python di dalam lingkungan terdampak dapat memicu logika pencurian kredensial, yang menjelaskan mengapa panduan respons berfokus pada containment dan rotasi rahasia, bukan hanya mengganti satu versi paket.

Peringatan yang tersedia menyebut data sensitif yang berisiko mencakup kredensial cloud, kunci API AI, dan private key SSH. Laporan terpisah pada Maret 2026 merangkum unggahan Andrej Karpathy mengenai serangan LiteLLM PyPI yang lebih luas, yang mencuri kunci SSH, kredensial cloud, konfigurasi Kubernetes, kredensial Git, variabel lingkungan, kunci CI/CD, dan kata sandi basis data. Namun, laporan sebelumnya itu tidak menetapkan cakupan tag Docker maupun daftar artefak 1.107.0 yang tepat untuk insiden Oktober.

Yang perlu dilakukan pengguna terdampak sekarang

Respons yang dilaporkan adalah berhenti menggunakan 1.107.0, melakukan rollback atau mengunci versi ke 1.106.2, mengisolasi setiap host atau container yang memasang atau menjalankan artefak terdampak, membangun ulang dari lingkungan bersih, serta merotasi kredensial yang dapat diakses lingkungan tersebut. Aikido dan JFrog sama-sama menekankan apakah paket atau image berbahaya telah dipasang atau dieksekusi, bukan apakah artefak itu masih tersedia saat ini.

Pembedaan ini penting. Pembaruan langsung di tempat mungkin menghapus versi berbahaya untuk penggunaan berikutnya, tetapi tidak menjawab apakah rahasia sudah terekspos saat wheel atau image tercemar masih aktif.

Bagi operator, pemicu tindakan praktisnya bersifat luas: siapa pun yang memasang litellm==1.107.0, menarik tag mengambang yang dilaporkan terdampak, atau menjalankan Python di lingkungan yang terekspos harus menganggap host atau container tersebut berpotensi telah disusupi. Laporan yang tersedia mendukung pembangunan ulang dari image atau lingkungan bersih serta rotasi setiap kredensial cloud, API, SSH, basis data, atau kredensial serupa yang dapat dijangkau dari runtime tersebut.