Pihak pengelola LiteLLM pada hari Jumat membeberkan bahwa sebuah kunci utama (master key) untuk Agent Platform yang tidak sengaja terunggah ke repositori publik GitHub pada akhir Mei 2026 pada akhirnya memberi celah bagi pelaku ancaman untuk menyusupkan serta menerbitkan versi berbahaya dari pustaka Python yang sangat populer tersebut.
"Pada 27 Mei 2026, sebuah berkas konfigurasi secara keliru terunggah ke repositori publik LiteLLM-Labs/lite-harness yang ternyata memuat kunci utama untuk penyebaran sistem LiteLLM Agent Platform, sebuah perangkat sumber terbuka yang kami manfaatkan untuk mengorkestrasi berbagai agen," tutur Oliver Jensen dan Mateo Wang dari pihak LiteLLM.
"Kekeliruan tersebut lekas terdeteksi, riwayat komit segera ditimpa secara paksa (force-pushed), dan kami langsung menetapkan bahwa deretan kunci yang sempat terekspos itu wajib segera dicabut aksesnya. Kendati demikian, prosedur pencabutan akses rupanya terlewat dan tidak terlaksana untuk kunci utama tersebut."
LiteLLM menerangkan bahwa pelaku peretasan yang tidak diketahui identitasnya (beroperasi lewat alamat IP "69.48.229[.]143") memanfaatkan kunci yang belum dicabut ini pada tanggal 10 Oktober 2026 guna menerobos masuk ke dalam Agent Platform serta mengekstrak token OAuth GitHub CLI yang sebelumnya dipasang pada layanan tersebut untuk mengizinkan agen cloud swakelola mengirimkan pull request langsung ke repositori GitHub.
Token tersebut, menurut penjelasan para pengembang peladen gateway model bahasa besar (LLM) sumber terbuka itu, ternyata "tidak dibatasi cakupannya" dan secara langsung tertaut dengan akun milik pemilik organisasi GitHub LiteLLM.
Keberhasilan meraup token tersebut otomatis memberikan pelaku kendali penuh setara pemilik atas seluruh repositori yang bernaung di bawah organisasi tersebut sekaligus memfasilitasi aksi penjarahan kredensial tambahan secara lebih leluasa. Rangkaian manuver teknis yang dilancarkan oleh sang penyerang selepas langkah penyusupan awal tersebut berlangsung sebagai berikut –
"Dalam skenario kerja normal, proses pembuatan dan peluncuran suatu rilis resmi mensyaratkan inisiasi awal oleh seorang rekayasawan yang berwenang serta wajib disetujui secara ketat oleh akun khusus yang terikat ke perangkat keras fisik di dalam kantor kami," ungkap pihak LiteLLM.
"Ketentuan ketat ini sengaja dilonggarkan pada awal pekan tersebut guna mengakomodasi kebutuhan sementara terkait percepatan jadwal rilis serta penyaluran perbaikan bug secara berkala, sehingga rilis dapat dimulai dan disahkan cukup oleh dua rekayasawan mana saja. Memanfaatkan celah itu, penyerang memanfaatkan salah satu token untuk memicu proses rilis (seusai mengalihkan jalur deployer ke repositori jahat milik mereka), dan mengandalkan token kedua guna memberikan persetujuan publikasi."
Tak hanya itu, tim pemelihara proyek menggarisbawahi bahwa peretas sebenarnya dapat saja mengendurkan aturan pembatasan ini secara mandiri (atau bahkan memusnahkannya secara menyeluruh) mengingat mereka telah memegang kendali atas token pemilik organisasi. Diduga kuat langkah drastis semacam itu sengaja dihindari demi meminimalkan kecurigaan dan menghindari deteksi sistem pengawas internal.
LiteLLM turut menyatakan bahwa alur kerja otomatis tersebut dirancang spesifik untuk melacak dan menyedot berbagai token serta kunci tambahan lainnya, dengan fokus utama membidik token API inferensi dari penyedia hulu. Menanggapi insiden pelanggaran keamanan serius ini, perusahaan menegaskan tengah berupaya keras membatalkan dan mencabut seluruh token yang terhubung dengan setiap infrastruktur internal maupun platform vendor mitra.
Rincian Tambahan Seputar Alur Kerja Berbahaya Mulai Terkuak
Socket, yang meluncurkan laporan audit investigasi independen terhadap rantai kerja manipulatif tersebut, mengonfirmasi berhasil menemukan dua komit berbahaya yang masing-masing menambahkan alur kerja baru di direktori ".github/workflows/cache.yml." Komit perdana terekam dieksekusi pada 10 Oktober 2026 tepat pukul 22.11.45 UTC. Aksi tersebut kemudian disusul oleh hadirnya komit berbahaya kedua pada tanggal 12 Oktober.
"Tak satu pun dari kedua komit ini dikirimkan ke cabang (branch) yang saat ini masih eksis," beber Karlo Zanki, peneliti keamanan dari Socket, dalam keterangan laporan yang dibagikan kepada media The Hacker News. "Keduanya sengaja didorong menuju cabang sementara berusia pendek bernama ci-tmp-<hex> yang langsung dibuat, dieksekusi, dan segera dihapus hanya dalam rentang beberapa menit, menyebabkan aktivitas penyusupan ini nyaris tidak meninggalkan jejak sama sekali pada catatan riwayat repositori reguler."
Berdasarkan hasil analisis mendalam firma keamanan aplikasi tersebut terhadap arsip catatan log aktivitas repositori, kedua berkas komit tersebut sengaja bertumpu pada komit orisinal yang valid sebagai basis cabang agar seluruh proses push terlihat sepenuhnya wajar dan tidak memicu kecurigaan –
Kedua alur kerja tersebut, sebagaimana ditekankan LiteLLM, dipersenjatai kemampuan sistematis untuk menjarah deretan token GitHub serta kunci API penting milik ruang kerja Linear organisasi, deployment resmi LiteLLM, serta akun Together AI, di samping mengincar data pengenal beserta kunci penandatanganan (signing key) dari GitHub App.
Operasi alur kerja pada tanggal 12 Oktober kian memperluas jangkauan penjarahan terhadap lebih banyak rahasia digital sensitif, mencakup kunci API milik Anthropic, OpenAI, AWS Bedrock, Tavily, hingga akun penyewa pemindaian rahasia GitGuardian. Rutinitas tersebut bahkan turut membajak status penyimpanan browser Playwright, rincian data database PostgreSQL (mencakup string koneksi, nama akun pemakai, dan kata sandi), alamat endpoint Redis, nomor port, hingga kata sandi otentikasi.
Kumpulan data rahasia bernilai tinggi yang berhasil dihimpun dari kedua alur kerja tersebut lantas dikirimkan secara diam-diam menuju dua endpoint webhook[.]site yang terpisah –
"Token GitHub serta kunci privat GitHub App merupakan kredensial vital bagi platform yang meng-host repositori itu sendiri, bukan sekadar akses pihak ketiga biasa," papar Zanki. "Kunci GITGUARDIAN_API_KEY merupakan kredensial bagi platform pemindaian kebocoran itu sendiri, yang otomatis memberikan penyerang transparansi penuh serta potensi kendali atas sistem peringatan dini yang seharusnya sanggup mengungkap gerak-gerik penyusupan ini.
"Sementara itu, E2E_LINEAR_STORAGE_STATE_B64 adalah rekaman status sesi peramban yang diserialisasi untuk pengujian menyeluruh (end-to-end) via Playwright; berkas status sesi yang sah memungkinkan akses terotentikasi penuh ke akun Linear terkait tanpa membutuhkan kata sandi maupun kewajiban melewati verifikasi multi-faktor (MFA)."
Fakta investigasi ini secara langsung mematahkan dugaan awal tim LiteLLM yang sempat menduga bahwa token OAuth GitHub CLI mereka tercuri dari rekaman log penyebaran internal LiteLLM. "Proses investigasi ini merupakan perjalanan di mana kami terus-menerus memperoleh temuan serta informasi faktual baru, yang artinya sejumlah asumsi dan keyakinan awal kami terbukti kurang akurat atau belum utuh," aku Jensen secara terbuka.
Dampak dan Mekanisme Kerja Versi Paket Jahat
Berbagai laporan teknis mengungkap bahwa berkas-berkas yang dipaketkan di dalam LiteLLM versi 1.107.0 telah dirancang khusus agar otomatis berjalan saat lingkungan Python dinyalakan, bahkan seandainya program aplikasi terkait sama sekali tidak pernah mengimpor modul LiteLLM.
Perangkat lunak berbahaya tersebut mengusung dua mekanisme eksekusi utama: modul pemanen kredensial yang membidik material autentikasi di berbagai alat bantu pengembang, aplikasi AI, infrastruktur cloud, dan peramban web, serta sebuah pintu belakang (backdoor) berbasis Unix yang dijalankan sebagai proses latar belakang untuk mengunduh serta mengeksekusi kode liar yang dipasok oleh penyerang setiap interval satu jam sekali.
Program pencuri data ini juga menghimpun data konfigurasi sistem, berkas kunci SSH, kredensial dan token Git maupun GitLab, variabel lingkungan, serta token ekosistem npm, PyPI, pip, Yarn, Maven, Gradle, Composer, RubyGems, hingga Cargo. Kumpulan informasi curian tersebut kemudian dikompresi lalu dikirimkan menuju "litellm[.]dev/healthcheck" via permintaan HTTP POST. Domain mencurigakan tersebut baru didaftarkan pada 13 Oktober 2026.
"Secara kolektif, perpaduan mekanisme berbahaya ini memperluas potensi bahaya paparan melampaui instalasi aktif LiteLLM semata: sekadar mengeksekusi Python di lingkungan yang terinfeksi sudah cukup untuk memicu kode jahat, kendati LiteLLM sendiri tak pernah dipanggil," terang tim Microsoft Security Research.
"Lantaran seluruh berkas startup tersebut bersarang di luar direktori utama aplikasi LiteLLM, langkah pembersihan yang hanya menyasar berkas aplikasi semata berisiko meninggalkan komponen startup berbahaya tersebut tetap aktif di dalam sistem."
