Útočníci zneužili neodvolaný přístupový klíč a přes odcizené účty ovládli vydávání knihovny LiteLLM. Napadená verze 1.107.0 kradla přihlašovací údaje a umožňovala dodatečné spouštění cizího kódu.

LiteLLM, nástroj propojující aplikace s různými modely umělé inteligence, zveřejnil 23. října výsledky vyšetřování útoku z 21. října 2026. Jeho počátek sahal do května: do veřejného repozitáře se omylem dostal hlavní přístupový klíč experimentální platformy pro AI agenty. Vývojáři zveřejněný zápis odstranili, klíč ale nezneplatnili. Útočník jej 10. října použil k získání tokenu vlastníka organizace na GitHubu. Ten měl rozsáhlá oprávnění a nepatřil omezenému servisnímu účtu.

Přes automatizované vývojové úlohy útočník odcizil další tokeny. Následně obešel ochranu repozitáře, přesměroval sestavování na vlastní kopii projektu a pomocí dvou získaných identit vydání spustil i schválil. Oficiální proces tak podepsal a zveřejnil napadené balíčky. Závěrečná zpráva opravuje původní domněnku, že první token unikl z provozních logů: získán byl přes rozhraní platformy pro agenty. Samotný zdrojový tag oficiálního projektu škodlivé soubory neobsahoval.

Technický rozbor AISLE z 21. října našel malware ve všech sedmi instalačních balíčcích typu wheel. Do prostředí Pythonu přidával soubory cook.pth, cook.py a sitecustomize.py, které zajistily spuštění škodlivého kódu při startu interpretu, i když aplikace LiteLLM vůbec neimportovala. Kód sbíral hesla z prohlížečů, SSH a cloudové klíče, tokeny Kubernetes, tajné údaje vývojových nástrojů i proměnné prostředí. Další komponenta běžela na pozadí a pravidelně ověřovala, odkud má stáhnout a spustit další kód. AISLE uvádí první detekci tři minuty a čtrnáct sekund po zveřejnění; rychlé zachycení ovšem samo o sobě neznamená, že se balíček k uživatelům nedostal.

Podle incidentního oznámení LiteLLM z 21. října byla verze na PyPI dostupná přibližně od 11:39 do 13:23 UTC. Zasaženy byly také kontejnerové obrazy označené v1.107.0, latest, main-latest a main-stable; na Docker Hubu do 14:20 UTC. Soukromý podnikový registr zasažen nebyl. Pro posouzení dopadu proto nestačí zkontrolovat dnešní verzi: podstatné je také to, co se v daném intervalu instalovalo nebo spouštělo.