LiteLLM ist für viele die unauffällige Brücke zwischen eigenem Code und großen KI-Modellen — genau deshalb trifft dieser Vorfall besonders. Am 21. Oktober 2026 war das populäre Python-Paket für rund zwei Stunden selbst die Schadsoftware.
WAS PASSIERT IST: Gestohlene Zugänge, verschobene Pipeline
Laut dem Sicherheitsbericht der Maintainer nutzten die Angreifer gestohlene GitHub-OAuth-Token eines Organisationsinhabers, um den Branch-Schutz der Build-Pipeline zu deaktivieren. Ein manipuliertes Workflow-Skript verwies anschließend auf ein nachgeahmtes Repository — Berri-AI/litellm statt des echten BerriAI/litellm —, aus dem die bösartigen Artefakte erzeugt wurden.
DIE ZWEI PAYLOADS IN DER VERGIFTETEN VERSION
In der kompromittierten Version 1.107.0 steckten laut Analyse zwei getrennte Schadfunktionen:
- Ein Credential-Stealer (intern „privcollect“ genannt), der Zugangsdaten und API-Schlüssel aus der Umgebung einsammelte.
- Eine Hintertür, eingeschleust über Dateien wie
cook.pthundsitecustomize.py— Mechanismen, die Python schon beim Start automatisch ausführt, noch vor dem eigentlichen Programmcode.
EIN KURZES, ABER GEFÄHRLICHES FENSTER
Zeitlich war der Vorfall eng begrenzt: Das PyPI-Paket war von 11:39 bis 13:23 UTC live, die betroffenen Docker-Images (Tags v1.107.0, latest, main-latest, main-stable) bis 14:20 UTC. Macht zusammen gut zwei bis zweieinhalb Stunden, in denen jede frische Installation potenziell betroffen war.
WER WIRKLICH BETROFFEN WAR
Betroffen sind ausschließlich Installationen, die genau in diesem Zeitfenster die Version 1.107.0 aus PyPI oder eines der genannten Docker-Tags gezogen haben. Enterprise-Kunden waren nach Angaben der Maintainer nicht betroffen. Der Vorfall gilt als eingedämmt: Die kompromittierten Artefakte wurden entfernt, die Pipeline wiederhergestellt.
SO PRÜFST DU DICH — in 5 MINUTEN
- Version checken:
pip show litellmausführen — steht dort 1.107.0 und liegt die Installation im genannten Zeitfenster, handeln. - Docker-Images prüfen: Image-Digest der gezogenen Tags mit dem offiziellen Security-Advisory vergleichen.
- Bei Treffer sofort rotieren: Alle API-Schlüssel, Umgebungsvariablen und Zugangsdaten auf dem betroffenen Host erneuern — nicht nur die von LiteLLM selbst.
- Saubere Version installieren: Auf eine Version nach dem Vorfall aktualisieren und das System im Zweifel neu aufsetzen, wenn eine Hintertür bestätigt wurde.
FAZIT: Die Lieferkette bleibt das schwächste Glied
Nicht die KI-Logik von LiteLLM war das Problem, sondern ein gestohlenes Konto in der Build-Pipeline — ein Muster, das Open-Source-Projekte seit Jahren begleitet. Wer KI-Tools im Homelab oder in eigenen Projekten einsetzt, sollte Versionsupdates nie blind ziehen, sondern zumindest kurz auf Advisories der Projekte schauen, bevor latest wieder im Produktivsystem landet.