Tim LiteLLM menerbitkan analisis akar masalah pada 23 Oktober 2026 yang menjelaskan bagaimana peretas bisa merilis versi berbahaya 1.107.0 ke PyPI dan Docker Hub dua hari sebelumnya. Penyebabnya: kunci master LiteLLM Agent Platform bocor ke repositori publik pada 27 Mei 2026 dan tidak pernah dicabut. LiteLLM adalah pustaka Python yang banyak dipakai developer untuk menghubungkan aplikasi ke berbagai model AI lewat satu antarmuka.
Dari satu file konfigurasi ke pipeline rilis
Menurut LiteLLM, sebuah file konfigurasi berisi kunci master Agent Platform, layanan internal yang masih berstatus alfa, sempat masuk ke repositori publik. Pengembang menimpa commit itu dengan force-push, tetapi tidak mencabut kuncinya. Pada 10 Oktober, peretas memakai kunci tersebut untuk membaca API Agent Platform dan memperoleh token OAuth GitHub CLI milik seorang pemilik organisasi GitHub.
Token itu memberi akses setingkat pemilik. Peretas lalu menjalankan workflow CI di cabang sementara untuk mencuri token maintainer lain, melewati proteksi cabang, dan mengarahkan workflow rilis ke repositori tiruan bernama Berri-AI/litellm, yang hanya berbeda satu tanda hubung dari repositori asli. Pada 21 Oktober sekitar pukul 11.40 UTC, LiteLLM 1.107.0 terbit di PyPI dalam tujuh wheel, disusul image Docker Hub dan GHCR enam menit kemudian. PyPI mengkarantina rilis itu pukul 13.23 UTC, sedangkan tag Docker dibersihkan pukul 14.20 UTC.
Dugaan awal LiteLLM bahwa token dicuri dari log deployment internal kini dinilai tidak lengkap.
Apa yang dilakukan malware di versi 1.107.0
Peneliti dari Socket, Wiz, dan Microsoft menemukan file berbahaya yang ditanam di mekanisme startup Python. Akibatnya, malware berjalan setiap kali Python dijalankan, meski aplikasi tidak pernah mengimpor LiteLLM. Malware ini mengumpulkan kredensial cloud, kunci SSH dan GPG, kredensial Git, token registry paket seperti npm dan PyPI, data login browser, serta file autentikasi alat AI seperti Codex, Claude, Gemini, dan Cursor. Komponen keduanya berupa backdoor yang mengambil dan menjalankan kode dari peretas kira-kira setiap jam. Wiz juga melihat peretas menguji kredensial AWS curian untuk mengakses model AI di Amazon Bedrock.
Langkah yang perlu diambil pengguna LiteLLM
- Periksa lockfile, file requirements, dan image container untuk litellm 1.107.0, serta tag Docker v1.107.0, latest, main-latest, dan main-stable yang ditarik pada 21 Oktober.
- Pakai versi 1.106.2 atau rilis resmi yang lebih baru. LiteLLM menyatakan semua versi sebelum 1.107.0 aman, dan pelanggan enterprise yang memakai registry privat LiteLLM tidak terdampak.
- Jangan hanya menghapus paket. Komponen startup malware berada di luar direktori LiteLLM, jadi bangun ulang mesin atau container yang terdampak.
- Ganti semua kredensial yang ada di mesin atau CI terdampak, termasuk kunci API layanan AI, kredensial cloud, token registry paket, dan string koneksi database.
- Periksa log audit GitHub dan aktivitas IAM di akun cloud untuk penggunaan kunci yang tidak wajar. Daftar indikator serangan tersedia di laporan sumber.
Pelajaran dari kasus ini berlaku bagi tim mana pun yang menyimpan kode di GitHub, termasuk startup AI di Indonesia. Kunci yang pernah masuk repositori publik harus dicabut di layanannya, karena menghapusnya dari riwayat commit tidak cukup. Token CI dan OAuth juga sebaiknya dibatasi ke hak akses minimum agar satu kebocoran tidak membuka akses ke seluruh organisasi.
Sumber: LiteLLM, The Hacker News, Help Net Security. Gambar: Help Net Security
Tinggalkan Balasan