Pihak pengelola LiteLLM pada hari Jumat mengumumkan bahwa sebuah kunci utama atau master key milik Agent Platform yang tidak sengaja terunggah ke repositori publik GitHub pada akhir Mei 2026 pada akhirnya memberi jalan bagi pelaku ancaman siber untuk mendistribusikan versi berbahaya dari paket Python populer tersebut.
"Pada 27 Mei 2026, sebuah berkas konfigurasi terkirim ke repositori publik LiteLLM-Labs/lite-harness yang tanpa sengaja memuat master key menuju deployment dari LiteLLM Agent Platform, yaitu sebuah perangkat sumber terbuka yang kami manfaatkan untuk mengorkestrasi agen," tutur Oliver Jensen dan Mateo Wang dari pihak LiteLLM.
"Kekeliruan tersebut lekas terdeteksi, komit tersebut langsung ditimpa menggunakan force-push, dan kami pun mengidentifikasi deretan kunci yang terbuka itu sebagai data yang wajib dicabut. Kendati demikian, pencabutan kunci nyatanya tidak terlaksana untuk master key tersebut."
LiteLLM membeberkan bahwa peretas anonim (yang beroperasi memanfaatkan alamat "69.48.229[.]143") menggunakan kunci yang urung dicabut ini pada tanggal 10 Oktober 2026 demi menyusup ke dalam Agent Platform serta mengekstraksi token OAuth GitHub CLI yang dikonfigurasikan pada layanan tersebut guna memfasilitasi agen cloud yang di-hosting mandiri untuk mengirimkan pull request ke berbagai repositori GitHub.
Token itu, menurut penjelasan dari tim pengembang gerbang large language model (LLM) open-source tersebut, berstatus "tidak dibatasi cakupannya" atau not scoped down dan terpaut langsung dengan akun pemilik organisasi GitHub mereka.
Keberhasilan menguasai token tersebut memuluskan langkah sang penyerang untuk mengantongi hak akses tingkat pemilik atau owner-level atas seluruh repositori di penjuru organisasi serta menjalankan eksfiltrasi kredensial tambahan secara beruntun. Kronologi tindakan sistematis yang dilancarkan oleh aktor ancaman siber seusai tahapan krusial ini mencakup langkah-langkah terstruktur sebagai berikut –
"Dalam skenario operasional yang lumrah, proses membangun serta mempublikasikan sebuah rilis resmi mengharuskan adanya inisiasi dari seorang insinyur yang berwenang dan wajib memperoleh persetujuan dari akun istimewa yang terikat ke perangkat keras fisik di kantor kami," jelas pihak LiteLLM.
"Batasan keamanan ini sempat dilonggarkan awal pekan ini guna memfasilitasi dorongan sementara terkait perilisan berkala dan backport perbaikan bug, yang memungkinkan dua insinyur mana pun untuk memicu serta menyetujui rilis. Dengan demikian, pelaku ancaman memanfaatkan salah satu token guna memicu rilis (setelah mengarahkan deployer ke repositori jahat mereka), serta memakai token lain untuk menyetujuinya."
Di samping itu, para pengelola proyek menggarisbawahi bahwa pelaku ancaman sejatinya dapat dengan sangat leluasa melonggarkan batasan ini (atau bahkan melenyapkannya secara total) secara mandiri mengingat mereka telah memegang token milik pemilik organisasi. Diduga kuat tindakan tersebut sengaja tidak mereka lakukan agar gerak-gerik jahat mereka tidak memicu kecurigaan atau mendeteksi alarm keamanan.
LiteLLM turut menyatakan bahwa alur kerja yang ditanamkan memang dirancang untuk memburu dan mengekfiltrasi kunci maupun token tambahan, dengan fokus utama tertuju pada token API inferensi hulu. Menyikapi rentetan insiden ini, pihak perusahaan menegaskan tengah berupaya keras untuk mencabut setiap token yang bertautan dengan seluruh sistem internal dan aneka platform vendor rekanan.
Rincian Lebih Mendalam Terkait Alur Kerja Berbahaya Mulai Terungkap
Firma keamanan Socket, yang merilis hasil investigasi mandiri mereka terkait alur kerja berbahaya tersebut, memaparkan temuan dua komit berbahaya yang masing-masing menyelipkan sebuah workflow pada lintasan ".github/workflows/cache.yml." Komit perdana dieksekusi pada 10 Oktober 2026, pukul 22.11.45 UTC. Aksi tersebut kemudian disusul oleh hadirnya komit kedua pada tanggal 12 Oktober.
"Tidak ada satu pun dari kedua komit itu yang dikirimkan ke branch yang masih bertahan saat ini," kata Karlo Zanki, peneliti keamanan dari Socket, dalam laporan resminya yang dibagikan kepada The Hacker News. "Keduanya didorong ke branch berumur sangat pendek bernama ci-tmp-<hex> yang sengaja dibuat, dimanfaatkan, lalu dimusnahkan hanya dalam tempo beberapa menit saja, itulah penyebab utama mengapa aktivitas tersebut nyaris tidak menyisakan jejak apa pun di riwayat lumrah repositori."
Berdasarkan bedah investigatif yang dilakukan oleh firma keamanan aplikasi tersebut terhadap rekaman log aktivitas repositori, kedua komit tersebut berpijak pada komit yang sah sebagai basis branch agar proses pengunggahan kode tampak seolah tidak berbahaya sama sekali –
Kedua alur kerja tersebut, sebagaimana disorot secara tegas oleh LiteLLM, dibekali kapabilitas untuk mengumpulkan token GitHub serta kunci API milik ruang kerja Linear organisasi, deployment internal LiteLLM, dan platform Together AI, lengkap beserta pengenal serta kunci penandatanganan dari GitHub App.
Operasi pada 12 Oktober memperluas jangkauan perburuan rahasia ke ranah yang lebih masif, mencakup kunci API milik Anthropic, OpenAI, AWS Bedrock, Tavily, serta tenant pemindai rahasia milik GitGuardian. Aktivitas tersebut juga sukses meraup data status penyimpanan Playwright, rincian basis data PostgreSQL (mencakup connection string, nama akun, serta kata sandi), alamat endpoint Redis, nomor port, hingga kata sandi autentikasi.
Semua informasi penting yang berhasil dikumpulkan dari dua skrip alur kerja tersebut lantas diselundupkan keluar menuju dua endpoint webhook[.]site yang terpisah –
"Token GitHub dan kunci privat GitHub App merupakan kredensial mutlak untuk platform yang menampung repositori secara langsung, bukan sekadar akses untuk layanan pihak ketiga biasa," tegas Zanki. "GITGUARDIAN_API_KEY merupakan kredensial inti untuk platform pemindaian rahasia itu sendiri, yang secara otomatis memberi penyerang visibilitas mendalam, dan berpotensi memegang kendali penuh atas sistem peringatan dini yang semestinya memunculkan anomali dari aktivitas mencurigakan ini.
"E2E_LINEAR_STORAGE_STATE_B64 merupakan status sesi peramban yang diserialisasi dan dimanfaatkan oleh Playwright untuk pengujian end-to-end; status penyimpanan yang valid memungkinkan akses terautentikasi secara leluasa ke akun Linear terkait tanpa membutuhkan kata sandi dan tanpa perlu melewati kewajiban autentikasi multifaktor sama sekali."
Rangkaian temuan mutakhir ini secara langsung menggugurkan hipotesis awal tim LiteLLM yang sempat menduga bahwa token OAuth GitHub CLI tersebut dicuri dari catatan log milik deployment internal LiteLLM. "Penyelidikan yang berlangsung merupakan proses dinamis di mana kami secara berkesinambungan mempelajari data dan fakta baru, yang mengindikasikan bahwa sejumlah asumsi serta keyakinan awal kami belakangan terbukti kurang tepat atau belum lengkap," aku Jensen secara terbuka.
Dampak dan Mekanisme Kerja Versi Paket yang Terinfeksi Malware
Deretan laporan mendalam menguak fakta bahwa berkas-berkas yang dipaketkan bersama LiteLLM versi 1.107.0 sengaja dirancang agar dapat dieksekusi secara otomatis saat Python dijalankan, kendati aplikasi target sama sekali tidak mengimpor modul LiteLLM.
Perangkat lunak jahat ini mengusung dua mekanisme eksekusi utama: modul pencuri kredensial yang mengincar material autentikasi di berbagai alat pengembang, aplikasi AI, lingkungan cloud, serta peramban web, dipadukan dengan backdoor berbasis Unix yang dijalankan sebagai proses latar belakang untuk mengambil dan mengeksekusi kode berbahaya kiriman peretas setiap satu jam sekali secara berkala.
Modul pencuri data tersebut juga secara agresif meraup informasi sistem, berkas konfigurasi SSH, kredensial serta token Git dan GitLab, variabel lingkungan atau environment variables, serta aneka token otentikasi pengembang yang terhubung dengan npm, PyPI, pip, Yarn, Maven, Gradle, Composer, RubyGems, hingga Cargo. Kumpulan data sensitif tersebut kemudian dipadatkan lalu dikirimkan menuju "litellm[.]dev/healthcheck" via permintaan HTTP POST. Domain berbahaya ini diketahui baru didaftarkan secara sengaja pada tanggal 13 Oktober 2026.
"Secara terpadu, mekanisme terorganisir ini memperluas potensi paparan bahaya melampaui batas deployment aktif LiteLLM semata: sekadar mengeksekusi Python di dalam lingkungan yang terdampak sudah cukup untuk menyulut kode berbahaya tersebut, bahkan sekalipun LiteLLM secara faktual tidak pernah diimpor," pungkas tim Microsoft Security Research.
"Karena berkas startup tersebut disusupkan dan bertempat di luar direktori inti aplikasi LiteLLM, tindakan yang hanya menghapus berkas aplikasi tentu saja akan meninggalkan komponen awal berbahaya tersebut tetap bersarang di dalam sistem."
