LiteLLM 1.107.0 ถูกฝังมัลแวร์ขโมยคีย์ AI และ RAT ซ้ำรอยเหตุบน PyPI เมื่อเดือนมีนาคม

ผู้โจมตีเข้าระบบออกรุ่นของ LiteLLM ได้อย่างไร

หลังเหตุเดือนมีนาคม LiteLLM ย้ายการออกรุ่นไป repository ส่วนตัว ใช้ Trusted Publishers ล็อกแท็ก Docker ไม่ให้เปลี่ยน และเซ็นอิมเมจ แต่รายงานของบริษัทเล่าว่าผู้โจมตีผ่านการป้องกันหลายชั้นได้

1. วันจันทร์ก่อนเกิดเหตุ บริษัทขยายสิทธิ์ออกรุ่นชั่วคราวให้วิศวกรอีก 2 คนเพื่อออกแพตช์รายวันให้ลูกค้า
2. ผู้โจมตีมี GitHub CLI OAuth token ของวิศวกร 3 คน หนึ่งในนั้นเป็นของเจ้าของ organization บน GitHub จึงปิด branch protection และ force push การแก้ workflow ได้
3. workflow ที่ถูกแก้ดึงซอร์สจาก repository ชื่อคล้ายกันคือ Berri-AI/litellm (ของจริงคือ BerriAI/litellm) แล้วเซ็นและเผยแพร่แพ็กเกจตามขั้นตอนปกติ โดยใช้บัญชีที่สองกดอนุมัติ และบัญชีที่สามลบบันทึกการรัน workflow

LiteLLM ระบุว่า token หลุดจาก LiteLLM ภายในบริษัทที่เปิดออกอินเทอร์เน็ต ซึ่งพบบัญชีผู้ใช้แปลกปลอมชื่อดูไม่มีพิษภัย บริษัทเชื่อว่าผู้โจมตีอ่าน token จาก log ของระบบนั้น และสงสัยว่าเข้ามาผ่านช่องโหว่ที่เพิ่งแพตช์ไป บริษัทยังระบุว่าพบบางสถานการณ์ที่ Claude Code ใส่ GitHub CLI OAuth token ของผู้ใช้ลงใน response body ซึ่งไปอยู่ใน log ได้เมื่อระบบบันทึก response ทั้งหมด LiteLLM บอกว่ายังอยู่ระหว่างยืนยันรายละเอียดเหล่านี้

ระหว่างสอบสวน LiteLLM ถอดผู้ใช้ออกจาก organization บน GitHub ทั้งหมดเหลือคนเดียวที่ไม่ได้รับผลกระทบ ล็อก registry ไม่ให้ออกรุ่นใหม่ และหยุดออกรุ่นตามปกติ

ข้อมูลที่ LiteLLM 1.107.0 ขโมยไปถูกนำไปใช้แล้ว

Wiz รายงานว่าเริ่มเห็นการใช้ข้อมูลรับรองที่ขโมยไปราว 4.5 ชั่วโมงหลังส่งข้อมูลออก ระหว่าง 16:20 ถึง 17:01 UTC ผู้โจมตีทดสอบข้อมูลรับรองของ AWS instance role ที่ได้จาก runner ของ CI และ node ของ Kubernetes ในหลายสภาพแวดล้อม ด้วย sts:GetCallerIdentity แล้วตามด้วยการเรียกรายชื่อโมเดลบน Amazon Bedrock ซึ่ง Wiz ระบุว่าตรงกับรูปแบบ LLMjacking หรือการนำบัญชีคลาวด์ของผู้อื่นไปใช้โมเดล AI ในบางสภาพแวดล้อมผู้โจมตียังไล่สำรวจผู้ใช้และสิทธิ์ใน IAM ด้วย

ทำไมเรื่องนี้สำคัญ

LiteLLM 1.107.0 แสดงให้เห็นว่า AI gateway เป็นเป้าที่คุ้มค่า เพราะเป็นจุดเดียวที่รวมคีย์ของผู้ให้บริการโมเดลทุกราย เหตุครั้งก่อนเมื่อ 24 มีนาคม 2026 รุ่น 1.82.7 และ 1.82.8 อยู่บน PyPI ราว 40 นาที และ LiteLLM เชื่อว่าต้นเหตุมาจาก Trivy ใน CI/CD ครั้งนี้ระบบออกรุ่นที่ปรับใหม่แล้วยังถูกเจาะผ่าน token ของนักพัฒนา ตัว LiteLLM Proxy เองก็เป็นเป้า แค็ตตาล็อก KEV ของ CISA มีช่องโหว่ของ LiteLLM ที่ถูกโจมตีจริงแล้ว 3 รายการในปี 2026 ได้แก่ CVE-2026-42208, CVE-2026-42271 และ CVE-2026-59822 รูปแบบนี้คล้ายกับกรณี OVHcloud CLI ที่ไฟล์บน GitHub ถูกสลับเป็นมัลแวร์ขโมยคีย์คลาวด์

สิ่งที่องค์กรไทยควรทำ

• ตรวจทุกที่ที่อาจติดตั้ง LiteLLM 1.107.0 ทั้งเครื่องนักพัฒนา runner ของ CI และ container ที่ดึงแท็ก latest, main-latest หรือ main-stable ระหว่าง 18:39 ถึง 21:20 น. เวลาไทยของวันที่ 21 ตุลาคม ใช้ pip show litellm และค้นหาไฟล์ cook.pth, sitecustomize.py และ /tmp/.pc_once_72129118c59f5636c0bb ตามที่ LiteLLM และ Aikido เผยแพร่
• อย่าเริ่มด้วย pip install บนเครื่องที่ติด LiteLLM 1.107.0 แล้ว LiteLLM เตือนว่าการเปิด Python ทุกครั้งรวมถึง pip จะรันมัลแวร์ซ้ำ ให้ลบไฟล์จาก shell หยุด process ที่ถือ /tmp/remote_code_loader.lock แล้วสร้าง environment หรืออิมเมจใหม่จาก 1.106.2
• หมุนคีย์ทุกชุดที่เครื่องนั้นเข้าถึงได้ โดยเฉพาะคีย์ของผู้ให้บริการ AI ใน LiteLLM Proxy, master key, virtual key, รหัสผ่านฐานข้อมูล และ IAM role จากนั้นตรวจ CloudTrail และบิลการใช้ Bedrock หรือบริการโมเดลอื่นที่ผิดปกติ
• ปักหมุดเวอร์ชันและไม่ดึงแท็กลอย ใช้ LiteLLM 1.106.2 ด้วย digest ที่ตรวจแล้ว และอย่าเปิด LiteLLM Proxy หรือหน้า log ของมันออกอินเทอร์เน็ตโดยไม่จำเป็น ติดตามข่าว AI อื่น ๆ ได้ที่หมวด AI