現在の報道およびセキュリティ調査レポートによると、LiteLLM 1.107.0は2026年10月21日、PyPIと一部の公式コンテナタグを通じて配布された悪性リリースとされる。安全なロールバック先として報告されているのは1.106.2で、影響を受けた成果物をインストールまたは実行した場合は、通常のアップグレードより強力な対応が必要となる。環境を隔離し、クリーンなベースから再構築したうえで、アクセス可能だった認証情報をローテーションすべきだ。

侵害されたと報告されているLiteLLMの成果物

現在の報道では、侵害されたリリースはLiteLLM 1.107.0とされ、PyPIパッケージと公式コンテナイメージの両方に影響が及んだと報じられている。提供されたアラートはlatestおよびmain-stableを含むPyPIパッケージとDockerイメージを挙げ、WizとAikidoのセキュリティレポートではv1.107.0とmain-latestも対象としている。

この範囲は重要だ。影響を受けた一部の利用者は、1.107.0を直接選択していない可能性があるためだ。可変イメージタグに依存するチームは、明示的なバージョン更新ではなく、通常のデプロイ運用を通じて汚染されたビルドを取得した可能性がある。

報告された範囲における、現時点で特に重要な情報は以下の通りだ。

入手可能な報道では、各チャネルでのクリーンアップ時期は一致していない。BerriAI/litellmに紐づくGitHub Issueの抜粋では、10月21日のある時点でPyPIはクリーンアップ済みだった一方、可変Dockerタグはなお感染状態にあったとされる。その後、Wizはこれらのタグが削除されたと説明した。このため事案の全体像は裏付けられるものの、最終的なクリーンアップ時刻を一つに確定することはできない。

報告されたペイロードのリスクが特に高い理由

JFrogによると、悪性のLiteLLM wheelはPython起動フックを利用しており、アプリケーションがLiteLLMを直接インポートするのを待たず、影響を受けた環境でPythonが起動した時点でペイロードが実行される可能性がある。ここで確認できる抜粋では、JFrogはPythonの通常のsite初期化処理で読み込まれるcook.pthファイルにこの挙動を起因するとしている。

この仕組みが存在した場合、影響範囲は単なる不正なライブラリ呼び出しを超えて広がる。影響を受けた環境内でPythonを起動するだけで認証情報窃取ロジックが作動する可能性があり、単一パッケージのバージョン置換ではなく、封じ込めとシークレットのローテーションが対応の中心となる理由を説明する。

提供されたアラートによると、リスクにさらされた機密データにはクラウド認証情報、AI APIキー、SSH秘密鍵が含まれる。別の2026年3月の報道は、SSH鍵、クラウド認証情報、Kubernetes設定、Git認証情報、環境変数、CI/CDキー、データベースパスワードを窃取した、より広範なLiteLLMのPyPI攻撃について述べたアンドレイ・カルパシーの投稿を要約している。ただし、この以前の報道は、10月の事案におけるDockerタグの影響範囲や、正確な1.107.0の成果物リストを確定するものではない。

影響を受けた利用者が今すべきこと

報告されている対応は、1.107.0の利用を中止し、1.106.2へロールバックまたは固定することだ。さらに、影響を受けた成果物をインストールまたは実行したホストやコンテナを隔離し、クリーンな環境から再構築したうえで、その環境がアクセスできた認証情報をローテーションする必要がある。AikidoとJFrogはいずれも、悪性パッケージまたはイメージが現在入手可能かどうかではなく、インストールまたは実行されたかどうかを問題の判断基準としている。

この違いは重要だ。インプレースでのアップグレードにより今後は不正なバージョンを除去できるかもしれないが、汚染されたwheelやイメージが有効だった間にシークレットがすでに漏えいしていたかどうかは分からない。

運用担当者にとって、対応を開始すべき条件は広い。litellm==1.107.0をインストールした、影響が報告された可変タグを取得した、または影響を受けた環境でPythonを起動した利用者は、ホストまたはコンテナが侵害された可能性があるものとして扱うべきだ。入手可能な報道は、クリーンなイメージまたは環境からの再構築と、そのランタイムからアクセス可能だったクラウド、API、SSH、データベースなどの認証情報のローテーションを支持している。