LiteLLM bị tấn công đầu độc lần thứ hai trong năm nay: không cần gọi cũng có thể đánh cắp khóa

Động Sát Beating Tin nhanh AI, công ty bảo mật JFrog phát hiện cổng kết nối mô hình AI mã nguồn mở phổ biến LiteLLM một lần nữa bị tấn công chuỗi cung ứng. Phiên bản 1.107.0 mới nhất của nó đã bị cài mã độc, hình ảnh Docker chính thức cũng bị ảnh hưởng. LiteLLM có thể gọi thống nhất các mô hình như OpenAI, Anthropic và quản lý tập trung khóa API, hồi tháng 3 năm nay cũng từng bị đầu độc do một cuộc tấn công chuỗi cung ứng khác.

Cuộc tấn công lần này càng tinh vi hơn. Tin tặc giấu ba tệp bổ sung trong gói cài đặt Python. Sau khi người dùng cài đặt, chỉ cần khởi động môi trường Python liên quan, dù không gọi LiteLLM, mã độc vẫn tự động chạy. Nó sẽ thu thập mật khẩu trình duyệt, khóa riêng SSH, thông tin xác thực các nền tảng đám mây như AWS, cũng như thông tin xác thực của các công cụ phát triển như Claude, Codex, Cursor. Nó còn cố gắng đọc khóa API mô hình được lưu trong cơ sở dữ liệu LiteLLM, gửi đến máy chủ ngụy trang thành tên miền chính thức.

Kẻ tấn công còn để lại một cửa hậu duy trì, mỗi giờ kiểm tra chỉ thị từ xa một lần, khi cần thiết tải xuống và thực thi mã mới. Rắc rối hơn là, mã nguồn phiên bản chính thức trên GitHub không có các tệp độc hại này, nhưng toàn bộ bảy gói cài đặt cho các nền tảng được phát hành lên PyPI đều bị cài trojan. Cộng đồng thông qua nhật ký xây dựng Docker phát hiện, địa chỉ mã nguồn mà hệ thống phát hành sử dụng trỏ đến một kho giả mạo chỉ khác tên kho chính thức một dấu gạch nối. Việc nó lọt vào quy trình phát hành như thế nào vẫn chưa được làm rõ.

Hiện tại PyPI đã gỡ bỏ phiên bản độc hại, Docker Hub cũng đã rút hình ảnh bị ảnh hưởng. JFrog nhắc nhở, người dùng đã cài đặt hoặc chạy 1.107.0 nên coi các thông tin xác thực liên quan là có thể đã bị lộ, cách ly và xây dựng lại môi trường, luân chuyển khóa API và các thông tin xác thực nhạy cảm khác, thay vì chỉ đơn giản gỡ cài đặt phần mềm. Phiên bản quay lui đã được xác nhận an toàn là 1.106.2.