LiteLLM 1.107.0の配布工程が侵害され、認証情報を盗むマルウェアが混入。対象バージョン・配布時間・企業向け緊急チェックリスト12項目を公式報告から整理。
30秒でわかる / THE SIGNAL
LiteLLMのPyPI 1.107.0と一部Docker／GHCRイメージが2026年10月21日に侵害された。配布物は撤去済みだが、実行した環境では認証情報流出を想定し、隔離・再構築・キー更新が必要。記事内に企業向け12項目のチェックリストを掲載。
AIの接続基盤で何が起きたのか
LiteLLMは複数のAIモデルへの接続を共通化するPythonライブラリ／AIゲートウェイだ。開発元の2026年10月21日付公式報告によると、ソフトウェアのリリース工程が侵害され、悪意あるコードを含むバージョン1.107.0がPyPIとコンテナレジストリに配布された。マルウェアには認証情報の窃取と外部からのコード実行ツールを読み込む機能があった。開発元は問題の配布物を撤去し、インシデントを封じ込めたと説明する一方、調査は継続中としている。
影響したバージョンと配布時間
PyPIのlitellm==1.107.0は10月21日11:39〜13:23 UTCごろ配布された。Docker Hubではv1.107.0、latest、main-latest、main-stableが11:46〜14:20 UTCごろ、問題のあるイメージを参照していた。GHCRでも同名タグの影響が確認された。タグ名だけでなく、取得した時刻とイメージのdigestを確認する必要がある。開発元によると、非公開のEnterpriseレジストリを使う顧客向け配布物は影響を受けていない。深刻度は重大だが、このインシデントに一律のCVSSスコアが付いているわけではない。
なぜGitHubのコードを確認するだけでは防げなかったのか
公式報告によれば、GitHub上の正式なv1.107.0ソースタグには悪意あるファイルが含まれていなかった。攻撃者は開発者の認証情報を利用してリリース工程の保護を迂回し、見た目の似た別のリポジトリをビルド元に指定したとされる。署名や通常のリリース手順があっても、ビルド元の信頼性が損なわれれば配布物を安全とは言い切れない。開発元は攻撃経路の一部についてなお調査中としており、未確定の点を確定事実として扱うべきではない。
企業向け緊急チェックリスト｜利用状況の確認
□ 1．自社・委託先・クラウド環境でLiteLLMを利用しているか、依存関係やコンテナ構成を確認する。 □ 2．PyPIからlitellm==1.107.0を取得・実行した履歴がないか確認する。 □ 3．10月21日の該当時間帯にDocker Hub／GHCRのv1.107.0、latest、main-latest、main-stableを取得・起動していないか調べる。 □ 4．実行したイメージのdigest、CI/CDログ、デプロイ履歴、実行ホストを確認する。 □ 5．影響環境でlitellm-1.107.0.dist-info、cook.pth、sitecustomize.pyなどの痕跡を調査する。痕跡が見つからないことだけで安全とは判断しない。 □ 6．対象となるシステムの管理者、セキュリティ担当、委託先の連絡窓口を明確にする。
企業向け緊急チェックリスト｜影響があった場合の初動
□ 7．該当パッケージやイメージを実行した環境は侵害された可能性があるものとして隔離し、証跡を保全する。 □ 8．影響環境でいきなりpip installを実行しない。開発元はPython起動時に悪意あるファイルが再実行される可能性を警告している。 □ 9．専門担当者が公式手順に沿って悪意あるファイル・プロセスを除去し、可能ならクリーンな環境から再構築する。 □ 10．当面は開発元が推奨するlitellm==1.106.2など、明示的に安全とされた過去のバージョンへ固定する。 □ 11．クラウドIAMロール、AIプロバイダーのAPIキー、LiteLLMのmaster／virtualキー、DB接続パスワード、環境変数内の秘密情報を洗い出し、影響し得る認証情報をローテーションする。 □ 12．クラウド監査ログ、外部通信、認証情報の不審な利用を確認し、必要に応じてインシデント対応と関係者への報告を行う。
管理職が開発・運用担当者に確認したい3つの質問
第一に『自社と委託先でLiteLLMを使っているか』。第二に『問題の配布期間に対象バージョンを取得・実行した証跡はあるか』。第三に『該当した場合、環境再構築と認証情報更新はどこまで完了したか』。技術担当者に単に『最新版にしましたか』と尋ねるだけでは、すでに流出したかもしれない秘密情報のリスクを見落とす。影響なしと判断した場合も、その根拠となるバージョン・取得時刻・イメージdigestなどを記録したい。
WORK SIGNALの視点｜AI導入は配布経路の管理まで含む
AIの導入では、モデルの性能や利用料金だけでなく、接続ライブラリ、ゲートウェイ、CI/CD、秘密情報の管理も安全性を左右する。今回の事件は、公式の配布経路だから無条件に安全とは限らないことを示した。企業が取り組むべきなのはAIの利用を一律に止めることではなく、利用製品を把握し、問題発生時に停止・再構築・認証情報更新まで実行できる体制を整えることだ。
一次情報：LiteLLM公式インシデント報告（2026年10月21日、更新20:30 UTC） https://docs.litellm.ai/blog/security-incident-oct-21-2026