Pihak pengelola LiteLLM pada hari Jumat secara resmi mengonfirmasi insiden keamanan serius, di mana kunci utama atau master key untuk platform agen mereka secara tidak sengaja terunggah ke repositori publik di GitHub pada pengujung Mei 2026. Kelalaian konfigurasi tersebut pada akhirnya memberikan celah bagi aktor ancaman untuk menyusup dan menyebarkan paket Python populer yang telah dimodifikasi secara berbahaya ke publik.
"Pada 27 Mei 2026, sebuah berkas pengaturan secara keliru terunggah ke dalam repositori publik LiteLLM-Labs/lite-harness yang memuat kunci utama untuk penyebaran sistem LiteLLM Agent Platform, yakni instrumen sumber terbuka internal yang kami manfaatkan untuk mengelola dan mengorkestrasi berbagai agen," ungkap perwakilan LiteLLM, Oliver Jensen dan Mateo Wang.
"Kekeliruan tersebut sejatinya langsung terdeteksi dalam waktu singkat, riwayat komit segera ditimpa paksa melalui force-push, dan tim kami telah menandai deretan kredensial yang terekspos untuk segera dicabut. Kendati demikian, prosedur pencabutan akses ternyata terlewat dan tidak dieksekusi terhadap kunci utama tersebut," tambah mereka.
Berdasarkan investigasi LiteLLM, aktor ancaman tak dikenal yang teridentifikasi beroperasi menggunakan alamat IP "69.48.229[.]143" memanfaatkan kunci yang lupa dicabut ini pada tanggal 10 Oktober 2026. Pelaku berhasil menembus sistem Agent Platform dan mengekstrak token OAuth GitHub CLI. Token ini sebelumnya sengaja dipasang pada layanan tersebut guna memfasilitasi agen komputasi awan mandiri untuk mengajukan permintaan penarikan kode atau pull request ke repositori GitHub secara otomatis.
Menurut keterangan para pengembang gerbang model bahasa besar (LLM) sumber terbuka ini, token akses tersebut ternyata tidak dibatasi hak aksesnya secara ketat atau "not scoped down", bahkan terikat langsung dengan akun pemilik organisasi GitHub pengelola proyek.
Dengan berhasil dikuasainya token berprivilese tingkat tinggi ini, pelaku kejahatan siber secara otomatis memperoleh kendali penuh setara pemilik atas seluruh repositori di lingkungan organisasi, sekaligus leluasa melancarkan aksi pencurian kredensial tambahan secara berantai. Rangkaian manuver terencana yang dilancarkan oleh aktor ancaman setelah menguasai akses tersebut mencakup langkah-langkah berikut.
"Dalam prosedur operasional yang standar, proses kompilasi dan penerbitan rilis perangkat lunak wajib dimulai oleh seorang insinyur yang memiliki otorisasi resmi, serta harus disetujui melalui akun verifikasi khusus yang terikat secara permanen pada perangkat fisik di kantor kami," jelas tim penasihat keamanan LiteLLM.
"Namun, pembatasan ketat ini sempat dilonggarkan pada awal pekan guna mendukung percepatan peluncuran rilis tambalan berkala dan penyesuaian perbaikan bug mendesak, sehingga mekanisme persetujuan diubah agar cukup dipicu dan disahkan oleh dua insinyur mana pun. Memanfaatkan celah kelonggaran ini, pelaku memakai satu token curian untuk memicu proses rilis (setelah membelokkan arah skrip penyebaran ke repositori berbahaya milik mereka), serta memakai token kedua untuk memberikan persetujuan penerbitan paket," papar tim LiteLLM.
Di samping itu, para pemelihara proyek menggarisbawahi bahwa pelaku ancaman sebenarnya mampu melonggarkan pembatasan tersebut secara mandiri atau bahkan menghilangkannya sama sekali, mengingat mereka telah memegang token milik pemilik organisasi. Para peneliti menduga langkah tersebut sengaja dihindari oleh penyusup guna meminimalkan jejak kecurigaan dan menghindari deteksi dini oleh sistem pemantauan.
LiteLLM turut memaparkan bahwa alur kerja yang dipasang penyusup sengaja dirancang untuk melacak serta mengekstraksi kunci rahasia dan token lain, terutama membidik token API inferensi dari penyedia hulu. Menyikapi temuan insiden berbahaya ini, pihak pengelola menyatakan tengah bergerak cepat untuk mencabut secara menyeluruh seluruh token yang terhubung dengan setiap infrastruktur internal maupun platform vendor eksternal.
Rincian Teknis Alur Kerja Berbahaya Mulai Terungkap
Perusahaan keamanan rantai pasok perangkat lunak, Socket, yang turut merilis investigasi independen terhadap alur kerja berbahaya ini, menyatakan berhasil mengamankan dua jejak komit berbahaya yang masing-masing menambahkan berkas otomatisasi pada jalur ".github/workflows/cache.yml". Komit pertama tercatat dieksekusi pada 10 Oktober 2026 pukul 22.11.45 UTC, yang kemudian disusul oleh komit berbahaya kedua pada tanggal 12 Oktober.
"Kedua komit berbahaya tersebut tidak didorong ke cabang repositori yang saat ini masih eksis," beber Karlo Zanki, peneliti keamanan dari Socket, dalam laporan khususnya yang dibagikan kepada media The Hacker News. "Keduanya sengaja didorong ke cabang sementara berumur sangat pendek dengan format penamaan ci-tmp-<hex> yang sengaja dibuat, dieksekusi, lalu segera dihapus dalam hitungan menit. Taktik cerdik inilah yang membuat aktivitas manipulasi tersebut hampir tidak menyisakan jejak pada riwayat aktivitas normal repositori."
Berdasarkan analisis terperinci firma keamanan aplikasi terhadap rekaman log aktivitas repositori, kedua aksi komit tersebut sengaja menggunakan komit sah yang valid sebagai landasan dasar percabangan kode, semata-mata agar proses dorongan berkas tampak wajar dan tidak mencurigakan.
Sebagaimana diuraikan oleh LiteLLM, kedua skrip alur kerja tersebut dibekali kemampuan untuk menyedot token GitHub serta kunci API milik ruang kerja Linear organisasi, penyebaran lokal LiteLLM, dan akun Together AI, di samping turut mencuri identitas serta kunci penandatanganan milik GitHub App.
Pada eksekusi alur kerja kedua bertanggal 12 Oktober, cakupan pencurian data kian diperluas untuk menyasar rahasia penting lainnya. Targetnya mencakup kunci API untuk layanan Anthropic, OpenAI, AWS Bedrock, mesin pencari Tavily, hingga akun pemindaian rahasia penyewa GitGuardian. Skrip tersebut bahkan menyedot data status penyimpanan peramban Playwright, parameter pangkalan data PostgreSQL (meliputi string koneksi, nama akun, serta kata sandi), beserta alamat endpoint, nomor port, dan kata sandi autentikasi basis data Redis.
Seluruh kumpulan informasi sensitif yang berhasil dihimpun dari kedua alur kerja otomatis tersebut kemudian diselundupkan keluar menuju dua titik akhir terpisah pada platform webhook[.]site.
"Kredensial seperti token GitHub dan kunci privat GitHub App merupakan akses vital bagi platform yang meng-host repositori itu sendiri, bukan sekadar layanan pihak ketiga," tegas Zanki dalam analisanya. "Sementara itu, GITGUARDIAN_API_KEY adalah kredensial bagi platform pemindai kebocoran data itu sendiri, yang jika dikuasai akan memberikan penyerang visibilitas penuh, bahkan kendali atas notifikasi peringatan yang berpotensi membongkar aksi infiltrasi mereka.
"Adapun variabel E2E_LINEAR_STORAGE_STATE_B64 merupakan serialisasi data sesi peramban yang dimanfaatkan Playwright untuk pengujian menyeluruh (end-to-end); data sesi yang masih aktif ini memungkinkan penyerang masuk ke akun Linear terkait secara terotentikasi tanpa membutuhkan kata sandi dan berhasil melewati verifikasi autentikasi multifaktor," papar Zanki.
Koleksi temuan faktual ini secara otomatis membantah dugaan awal manajemen LiteLLM yang mengira bahwa token OAuth GitHub CLI tersebut bocor dari catatan log penyebaran internal LiteLLM. "Proses investigasi ini merupakan perjalanan di mana kami secara berkelanjutan menghimpun data tambahan, sehingga beberapa asumsi awal dan keyakinan kami sebelumnya terbukti keliru atau belum lengkap," aku Jensen secara terbuka.
Modus Operandi dan Bahaya Paket Versi Palsu
Berbagai laporan teknis mengungkap bahwa berkas-berkas berbahaya yang disisipkan ke dalam paket resmi LiteLLM versi 1.107.0 dirancang sedemikian rupa agar dapat langsung dieksekusi secara otomatis begitu lingkungan Python dijalankan, sekalipun program aplikasi pengguna sama sekali tidak mengimpor pustaka LiteLLM.
Perangkat lunak perusak ini menerapkan dua jalur eksekusi utama: modul pencuri kredensial yang agresif mengincar berkas autentikasi pada perangkat pengembang, aplikasi AI, lingkungan cloud, dan peramban web; serta modul backdoor khusus sistem Unix yang berjalan di latar belakang untuk mengunduh lalu mengeksekusi kode bebas dari penyerang setiap satu jam sekali.
Malware ini turut menghimpun metadata sistem korban, berkas kunci SSH, kredensial dan token Git maupun GitLab, variabel lingkungan mesin, hingga token otentikasi ekosistem paket perangkat lunak seperti npm, PyPI, pip, Yarn, Maven, Gradle, Composer, RubyGems, dan Cargo. Seluruh tangkapan data tersebut dikompresi sebelum dikirimkan menuju "litellm[.]dev/healthcheck" via permintaan HTTP POST. Domain kontrol tersebut terdata baru didaftarkan pada 13 Oktober 2026.
"Secara kolektif, perpaduan mekanisme intrusi ini memperluas potensi risiko paparan bahaya melampaui lingkungan aktif penyebaran LiteLLM: cukup dengan menjalankan lingkungan Python saja, kode berbahaya sudah langsung aktif di sistem terdampak, kendati LiteLLM sendiri tidak pernah diimpor," urai Tim Riset Keamanan Microsoft.
"Berhubung berkas pemicu awal berdiam di luar direktori inti aplikasi LiteLLM, langkah pembersihan yang sekadar menghapus berkas aplikasi LiteLLM berpotensi besar meninggalkan komponen malware rintisan tetap bersarang di dalam sistem operasi," pungkas peneliti Microsoft.