LiteLLM公布供應鏈攻擊後續調查，5月外洩金鑰讓駭客操控官方發布流程

開源AI模型串接工具LiteLLM公布1.107.0版供應鏈攻擊的調查結果，發現攻擊者利用5月外洩後未撤銷的AI代理平臺主金鑰，取得GitHub組織擁有者的存取權杖。攻擊者隨後竊取另外兩名維護者的憑證，最終操控官方發布流程，讓含有竊密程式的版本上架PyPI及容器映像檔儲存庫。

5月LiteLLM團隊誤將實驗性Agent Platform的設定檔，提交至公開GitHub儲存庫，檔案內含平臺主金鑰。團隊雖然迅速透過強制推送覆寫該筆提交，也發現金鑰需要撤銷，卻未實際撤銷主金鑰。10月10日攻擊者使用該金鑰呼叫Agent Platform API，從回傳的AI代理設定資料中取得一名GitHub組織擁有者的CLI OAuth權杖。

取得權限後，攻擊者在專案儲存庫新增短暫使用的GitHub Actions工作流程，透過持續整合（CI）環境將機密資料傳送至外部端點。10月10日，兩個工作流程分別外洩另外兩名維護者的GitHub權杖，攻擊者隨即刪除執行紀錄，並於兩天後對其他私人儲存庫展開類似的竊密行動。

10月21日，攻擊者嘗試修改私人發布儲存庫的流程，先遭分支保護機制阻擋，隨後改用組織擁有者權杖關閉保護設定，將建置來源改成名稱相近的Berri-AI/litellm儲存庫。LiteLLM當周也暫時放寬發布審核，改由兩名工程師啟動及核准版本。攻擊者利用不同權杖完成發布程序，讓官方管線簽署並發布受污染的1.107.0版。

惡意版本發布後，攻擊者利用第三名維護者的權杖刪除測試及正式發布流程的執行紀錄，再以組織擁有者權杖將主分支強制還原，試圖隱藏修改痕跡。

LiteLLM透過提交識別碼與GitHub稽核紀錄還原攻擊過程，修正先前懷疑權杖從內部LiteLLM服務日誌外洩的說法。受影響版本已於10月21日下架，團隊正全面撤銷內部系統及外部服務的相關憑證。