LiteLLM a indiqué le 21 octobre 2026 que des attaquants avaient compromis son pipeline de publication et envoyé un package malveillant litellm==1.107.0 sur PyPI, ainsi que des tags Docker compromis.
Selon le rapport d’incident de LiteLLM, la publication PyPI malveillante était disponible de 11:39 à 13:23 UTC. Les tags de conteneur concernés — v1.107.0, latest, main-latest et main-stable — ont été exposés de 11:46 à 14:20 UTC avant d’être supprimés ou redirigés. LiteLLM a également précisé que les clients utilisant son registre Enterprise privé n’étaient pas touchés et a demandé aux utilisateurs d’épingler 1.106.2 ou une autre version antérieure explicitement définie.
Le risque dépassait les applications appelant activement LiteLLM. La version malveillante utilisait cook.pth et sitecustomize.py, qui permettent d’exécuter du code au démarrage de l’interpréteur Python. Un environnement infecté pouvait donc exécuter la charge utile avant même qu’une application n’importe le package. L’analyse de Datadog décrit le malware comme un voleur d’identifiants doté de capacités d’exécution de code à distance, visant les secrets cloud, de développeurs, de navigateurs et de services d’IA.
Pour les équipes ayant récupéré le package ou les tags compromis, il s’agit d’un problème de réponse sur l’environnement, et non d’un simple retour en arrière : vérifiez les hôtes et les conteneurs à la recherche d’indicateurs de compromission et renouvelez les identifiants accessibles.