Les rapports actuellement disponibles et les publications de chercheurs en sécurité indiquent que LiteLLM 1.107.0 était une version malveillante, distribuée le 21 octobre 2026 via PyPI et certains tags officiels de conteneurs. La version considérée comme sûre pour le retour en arrière est la 1.106.2. Pour les personnes ayant installé ou exécuté les artefacts concernés, la réponse doit aller au-delà d'une simple mise à jour : isoler l'environnement, reconstruire depuis une base saine et renouveler les identifiants accessibles.

Quels artefacts LiteLLM auraient été compromis

Les informations disponibles désignent LiteLLM 1.107.0 comme la version compromise, l'exposition couvrant à la fois le paquet PyPI et les images officielles de conteneurs. L'alerte fournie cite des paquets PyPI et des images Docker, dont latest et main-stable ; des analyses de Wiz et Aikido mentionnent aussi v1.107.0 et main-latest.

Cette étendue est importante, car certains utilisateurs touchés n'ont peut-être pas sélectionné directement la version 1.107.0. Les équipes utilisant des tags d'image évolutifs ont pu récupérer une build compromise dans le cadre de leurs déploiements habituels, sans effectuer explicitement de changement de version.

Dans le périmètre signalé, les principaux éléments à retenir sont les suivants :

Les informations disponibles ne donnent pas le même calendrier de nettoyage selon les canaux. Un extrait d'issue GitHub lié à BerriAI/litellm indiquait qu'à un moment donné le 21 octobre, PyPI avait été nettoyé tandis que les tags Docker flottants restaient infectés. Wiz a ensuite indiqué que ces tags avaient été retirés. Ces éléments étayent le tableau général de l'incident, sans permettre d'établir une heure unique de nettoyage définitif.

Pourquoi la charge utile signalée était particulièrement risquée

Selon JFrog, le wheel LiteLLM malveillant utilisait un hook de démarrage Python. La charge utile pouvait ainsi s'exécuter dès le lancement de Python dans un environnement affecté, sans attendre qu'une application importe directement LiteLLM. Dans l'extrait disponible, JFrog attribue ce comportement à un fichier cook.pth traité lors de l'initialisation normale du site Python.

Si ce mécanisme était bien présent, le périmètre d'exposition dépassait largement un simple appel à une bibliothèque compromise. Le démarrage de Python dans l'environnement affecté pouvait déclencher la logique de vol d'identifiants, ce qui explique que les recommandations privilégient le confinement et le renouvellement des secrets plutôt que le seul remplacement d'une version du paquet.

L'alerte fournie indique que les données sensibles menacées incluaient des identifiants cloud, des clés d'API d'IA et des clés privées SSH. Des informations distinctes publiées en mars 2026 résumaient un message d'Andrej Karpathy faisant état d'une attaque plus large contre LiteLLM sur PyPI, visant notamment des clés SSH, des identifiants cloud, des configurations Kubernetes, des identifiants Git, des variables d'environnement, des clés CI/CD et des mots de passe de bases de données. Ce précédent rapport n'établissait toutefois ni le périmètre des tags Docker ni la liste exacte des artefacts 1.107.0 concernés par l'événement d'octobre.

Ce que les utilisateurs concernés doivent faire maintenant

La réponse préconisée consiste à cesser d'utiliser la version 1.107.0, à revenir à la 1.106.2 ou à l'épingler, à isoler tout hôte ou conteneur ayant installé ou exécuté l'artefact affecté, à reconstruire depuis un environnement sain et à renouveler les identifiants auxquels cet environnement pouvait accéder. Aikido comme JFrog évaluent le risque selon que le paquet ou l'image malveillante a été installé ou exécuté, et non selon sa disponibilité actuelle.

Cette distinction est essentielle. Une mise à niveau sur place peut supprimer la mauvaise version pour la suite, mais ne permet pas de savoir si des secrets ont déjà été exposés pendant que le wheel ou l'image compromis était actif.

Pour les opérateurs, le déclencheur d'une intervention doit être large : toute personne ayant installé litellm==1.107.0, récupéré un tag flottant signalé comme affecté ou démarré Python dans un environnement exposé doit considérer l'hôte ou le conteneur comme potentiellement compromis. Les informations disponibles recommandent de reconstruire à partir d'images ou d'environnements sains et de renouveler tous les identifiants cloud, API, SSH, de bases de données ou similaires accessibles depuis cet environnement d'exécution.