원문 캡처 · ctrlb.ai
원문 캡처 · ctrlb.ai

LiteLLM의 소프트웨어 공급망이 침해돼 2026년 10월 21일 악성 버전 1.107.0과 손상된 컨테이너 이미지가 배포됐다. 해당 산출물을 노출 시간대에 설치하거나 실행한 환경은 침해 가능성이 있으므로, 사용 여부를 확인하고 자격 증명 교체와 환경 정리를 검토해야 한다.

LiteLLM의 공식 사고 보고서에 따르면 공격자는 릴리스 파이프라인을 침해했다. 악성 패키지에는 환경에서 접근할 수 있는 자격 증명을 수집하고, 파이썬 인터프리터가 시작될 때 실행돼 원격 코드 실행과 지속적인 접근을 가능하게 하도록 설계된 구성 요소가 포함됐다.

공격자는 LiteLLM 엔지니어 3명과 연결된 GitHub CLI OAuth 토큰을 확보한 것으로 보고됐다. 이를 이용해 릴리스 보호를 우회하고 릴리스 워크플로를 수정한 뒤, 정상 LiteLLM 저장소와 유사한 공격자 통제 저장소에서 빌드한 산출물을 PyPI, Docker Hub, GitHub Container Registry(GHCR)에 게시했다. LiteLLM은 영향을 받은 산출물을 제거하고 사고를 억제했다고 밝혔으며, 최초 보고 당시 조사는 진행 중이었다.

영향을 받은 항목은 PyPI의 litellm==1.107.0과 Docker Hub 및 GHCR의 v1.107.0, latest, main-latest, main-stable 태그다. PyPI 패키지는 10월 21일 약 11:39부터 13:23 UTC까지 제공됐고, Docker Hub의 영향받은 태그는 약 14:20 UTC까지 손상된 이미지를 가리켰다. 오픈소스 사용자는 해당 시간대에 영향받은 산출물을 설치하거나 실행한 환경을 잠재적 침해 환경으로 취급하라는 권고를 받았다. LiteLLM은 비공개 LiteLLM Enterprise 릴리스 고객은 영향을 받지 않았다고 밝혔다. 최신 범위와 대응 지침은 공식 권고문에서 확인할 수 있다.

영향 여부를 확인할 때는 현재 설치 버전이나 이미지 태그만 보지 말고 배포 기록, 패키지 설치 로그, 컨테이너 다이제스트와 빌드 이력을 살펴 실제 실행된 산출물을 확인해야 한다. LiteLLM은 1.106.2 또는 안전성이 별도로 확인된 버전으로 고정할 것을 권고했다. 최초 보고서에 따르면 손상된 릴리스 이전에 게시된 버전은 이번 사고의 영향을 받지 않았다.

영향받은 산출물이 실행됐다면 패키지를 업데이트하거나 이전 버전으로 되돌리는 것만으로 충분하지 않을 수 있다. LiteLLM의 정리 지침을 따르고, 적절한 경우 영향을 받은 작업 부하를 격리한 뒤 검증된 깨끗한 산출물로 환경을 다시 구축해야 한다. 악성 구성 요소가 파이썬 시작 시 실행될 수 있으므로 공급업체의 정리 지침을 따르기 전에는 영향을 받은 환경에서 파이썬 프로세스를 시작하지 말라고 권고했다. 알려진 침해 지표가 없다는 사실만으로 환경이 안전하다고 판단해서도 안 된다.

손상된 산출물이 비밀 정보에 접근할 수 있는 환경에서 실행됐다면 관련 자격 증명이 노출됐을 가능성을 전제로 적절히 교체해야 한다. 우선순위에는 LLM 제공업체 API 키와 LiteLLM 프록시 비밀값, 클라우드 자격 증명과 워크로드 ID 권한, 데이터베이스 접속 정보, SSH 키와 개발자 액세스 토큰 등이 포함된다. 클라우드 감사 로그와 ID 활동을 살펴 의심스러운 접근이 있었는지, 노출된 자격 증명이 낯선 인프라나 위치에서 사용됐는지도 조사해야 한다.

이번 사고는 공식 패키지 저장소나 컨테이너 저장소에 게시됐다는 사실만으로 산출물의 안전성이 보장되지는 않는다는 점을 보여준다. 운영 환경에서는 변동 가능한 패키지 버전과 컨테이너 태그에 의존하지 않고 버전을 고정하며, 가능한 경우 컨테이너 다이제스트·출처 정보·서명을 확인해야 한다. 게시 권한을 제한하고 독립적인 승인 절차와 CI/CD 워크플로 보호를 적용하며, 빌드와 실행 환경에서 장기 토큰을 포함한 자격 증명 접근을 최소화하는 것도 권고됐다. 조사에 필요한 패키지·컨테이너·ID·클라우드 감사 로그를 충분히 보관해야 한다.

CtrlB는 대규모 텔레메트리 데이터를 수집·검색·보관하는 제품으로 소개됐다. 관련 내용은 CtrlB의 LiteLLM 보안 위협 탐지 관련 글에서 확인할 수 있다. 이 글은 2026년 10월 23일까지 LiteLLM이 공개한 정보를 바탕으로 작성됐으며, 이후 변경 사항과 자세한 정리 지침은 공식 사고 보고서를 참조하도록 안내한다.