Pihak pengelola LiteLLM pada hari Jumat mengumumkan bahwa sebuah master key milik Agent Platform yang sempat terpapar secara tidak sengaja di repositori publik GitHub pada akhir Mei 2026 pada akhirnya memberikan celah bagi aktor ancaman untuk menyebarkan versi berbahaya dari paket Python populer tersebut ke publik.
"Pada tanggal 27 Mei 2026, sebuah berkas konfigurasi terunggah ke repositori publik LiteLLM-Labs/lite-harness yang tanpa disengaja memuat master key menuju penerapan LiteLLM Agent Platform, instrumen sumber terbuka yang kami manfaatkan untuk mengorkestrasi agen," tutur Oliver Jensen dan Mateo Wang dari LiteLLM.
"Kekeliruan tersebut lekas disadari, commit segera ditimpa secara paksa, dan kami menetapkan bahwa seluruh kunci rahasia yang sempat terbuka harus dicabut. Akan tetapi, proses pencabutan kunci tersebut rupanya terlewatkan dan tidak pernah dieksekusi terhadap master key tersebut."
LiteLLM menerangkan bahwa aktor kejahatan yang tidak teridentifikasi (beroperasi menggunakan alamat IP "69.48.229[.]143") memanfaatkan kredensial yang belum dicabut tersebut pada 10 Oktober 2026 guna menerobos masuk ke Agent Platform serta mengekstrak token OAuth GitHub CLI yang dikonfigurasikan pada layanan demi memfasilitasi agen cloud mandiri dalam mengirimkan pull request ke berbagai repositori GitHub.
Token itu, sebagaimana diterangkan tim pengembang gateway large language model (LLM) open-source tersebut, "tidak dibatasi cakupannya" dan terikat langsung dengan akun milik pemilik organisasi GitHub.
Keberhasilan menguasai token tersebut memberi pelaku hak akses setara pemilik ke seluruh repositori yang berada di bawah naungan organisasi dan membuka jalan bagi aksi pencurian kredensial tambahan yang lebih luas. Rangkaian tindakan operasional terencana yang dilakukan oleh pelaku serangan setelah fase tersebut dijabarkan sebagai berikut –
"Dalam skenario operasional standar, prosedur pembangunan dan penerbitan rilis perangkat lunak wajib dimulai oleh seorang insinyur yang berwenang serta harus disetujui lewat akun khusus yang dikunci pada perangkat keras fisik di kantor kami," sebut LiteLLM.
"Kebijakan pembatasan ketat ini sempat dilonggarkan pada awal pekan tersebut guna mengakomodasi kebutuhan mendesak berupa siklus rilis yang lebih sering dan backport perbaikan bug, yang memungkinkan dua insinyur mana pun untuk memicu serta menyetujui peluncuran rilis. Oleh sebab itu, peretas memanfaatkan salah satu token curian untuk memicu rilis (usai mengarahkan deployer ke repositori jahat mereka), serta memakai token lain untuk menyetujuinya."
Lebih lanjut, tim pengelola proyek menggarisbawahi bahwa peretas sejatinya memiliki kewenangan penuh untuk mengendurkan pembatasan tersebut secara mandiri (atau meniadakannya sama sekali) mengingat mereka telah memegang token milik pemilik organisasi. Diduga kuat langkah itu tidak ditempuh agar aktivitas mereka tidak memicu kecurigaan sistem keamanan.
LiteLLM juga menambahkan bahwa alur kerja tersebut dirancang guna mendeteksi sekaligus mengeksfiltrasi kunci serta token rahasia lainnya, dengan fokus utama pada token API inferensi hulu. Menanggapi insiden tersebut, pihak perusahaan menegaskan tengah berupaya keras membatalkan dan mencabut seluruh token yang terhubung dengan setiap sistem internal maupun platform vendor.
Fakta Tambahan Mengenai Alur Kerja Berbahaya Terungkap
Firma keamanan Socket, yang merilis hasil investigasi mendalam terhadap alur kerja berbahaya ini, mengungkapkan penemuan dua commit mencurigakan yang masing-masing menambahkan berkas alur kerja pada jalur ".github/workflows/cache.yml." Commit pembuka dilakukan pada 10 Oktober 2026, tepat pukul 22.11.45 UTC. Aksi tersebut kemudian disusul oleh commit kedua pada 12 Oktober.
"Kedua commit tersebut tidak didorong ke branch yang masih bertahan hari ini," ungkap peneliti keamanan dari Socket, Karlo Zanki, dalam laporan yang dibagikan kepada The Hacker News. "Semuanya didorong ke branch sementara bernama ci-tmp-<hex> yang sengaja dibuat, dimanfaatkan, lalu dimusnahkan hanya dalam hitungan beberapa menit, itulah alasan mengapa jejak aktivitas ini hampir tidak membekas pada riwayat normal repositori."
Berdasarkan analisis log aktivitas repositori oleh penyedia keamanan aplikasi tersebut, kedua commit memakai commit yang sah sebagai basis branch agar dorongan berkas tampak wajar dan tidak memicu kecurigaan –
Kedua workflow tersebut, seperti yang ditekankan oleh LiteLLM, dibekali kemampuan untuk menyedot token GitHub serta kunci API milik ruang kerja Linear organisasi, deployment internal LiteLLM, dan platform Together AI, termasuk identitas serta kunci penandatanganan milik GitHub App.
Pada eksekusi tanggal 12 Oktober, jangkauan pengumpulan rahasia diperluas secara agresif ke lebih banyak data, mencakup kunci API milik Anthropic, OpenAI, AWS Bedrock, Tavily, hingga tenant pemindai rahasia GitGuardian. Workflow ini juga menyita status penyimpanan Playwright, rincian database PostgreSQL (connection string, nama akun, kata sandi), alamat endpoint Redis, port komunikasi, beserta kata sandi otentikasinya.
Seluruh kumpulan data sensitif yang dihimpun dari kedua alur kerja tersebut lantas dieksfiltrasi menuju dua endpoint webhook[.]site yang terpisah –
"Token GitHub dan kunci privat GitHub App merupakan kredensial otentikasi untuk platform penampung repositori itu sendiri, bukan layanan pihak ketiga umum," papar Zanki. "GITGUARDIAN_API_KEY adalah kredensial bagi platform pemindaian rahasia itu sendiri, yang memberikan penyerang transparansi penuh, bahkan kendali mutlak, terhadap peringatan yang seharusnya mengungkap aksi ilegal ini.
"E2E_LINEAR_STORAGE_STATE_B64 merupakan sesi peramban yang diserialisasi untuk pengujian menyeluruh Playwright; status penyimpanan yang valid memungkinkan akses terotentikasi langsung ke akun Linear terkait tanpa kata sandi dan tanpa melewati otentikasi multifaktor."
Rangkaian temuan anyar ini mematahkan dugaan awal pihak LiteLLM yang sempat menduga bahwa token OAuth GitHub CLI tercuri dari log deployment internal LiteLLM. "Penyelidikan ini adalah proses di mana kami terus memperoleh wawasan baru, yang berarti sebagian asumsi awal dan keyakinan kami terbukti tidak tepat atau kurang lengkap," aku Jensen.
Bahaya dan Perilaku Versi Paket yang Dimanipulasi
Berbagai laporan teknis memperlihatkan bahwa berkas-berkas yang dipaketkan di dalam LiteLLM versi 1.107.0 dirancang secara canggih agar berjalan secara otomatis setiap kali Python diinisiasi, kendati aplikasi yang bersangkutan tidak pernah mengimpor paket LiteLLM.
Malware ini menyematkan dua mekanisme kerja utama: modul pemanen kredensial yang memburu data otentikasi di berbagai perkakas pengembang, aplikasi AI, infrastruktur cloud, dan peramban web, serta backdoor berbasis Unix yang dijalankan sebagai proses latar belakang untuk mengunduh lalu mengeksekusi instruksi arbitrer dari penyerang setiap satu jam sekali.
Modul pencuri tersebut turut mengikis data sistem operasi, berkas SSH, token kredensial Git dan GitLab, variabel lingkungan, hingga token otentikasi npm, PyPI, pip, Yarn, Maven, Gradle, Composer, RubyGems, serta Cargo. Paket data tersebut lantas dipadatkan lalu dikirimkan menuju "litellm[.]dev/healthcheck" lewat permintaan HTTP POST. Domain tersebut didaftarkan pada 13 Oktober 2026.
"Secara kolektif, mekanisme tersembunyi ini memperluas potensi bahaya melampaui lingkungan operasional LiteLLM aktif: sekadar menyalakan Python pada lingkungan yang terpapar dapat langsung memicu kode berbahaya tersebut, bahkan jika LiteLLM tidak pernah diimpor sama sekali," tegas tim Microsoft Security Research.
"Oleh karena berkas startup berada di luar direktori inti aplikasi LiteLLM, tindakan yang hanya menghapus berkas aplikasi LiteLLM berpotensi menyisakan komponen startup jahat tersebut tetap tertinggal di dalam sistem."
