LiteLLM 1.107.0 Dibobol; Pencuri Kredensial Menyusup Lewat PyPI dan Docker
LiteLLM, pustaka Python populer yang menghubungkan aplikasi ke lebih dari 100 penyedia model AI, mengonfirmasi rilis 1.107.0 miliknya disusupi pencuri kredensial dan backdoor. Paket berbahaya itu tayang di PyPI pada 21 Oktober 2026 selama sekitar dua jam, dari pukul 11.39 sampai 13.23 UTC, dan ikut terbawa ke image Docker resmi. Insiden ini menunjukkan bahwa gateway AI, yang menyimpan kunci API banyak penyedia model sekaligus, kini menjadi sasaran empuk serangan rantai pasok perangkat lunak.
Apa yang Terjadi pada Rilis LiteLLM 1.107.0?
Rilis LiteLLM 1.107.0 yang terbit di PyPI dan Docker pada 21 Oktober 2026 berisi malware pencuri kredensial dan pemuat kode jarak jauh. Ketujuh paket wheel untuk Linux, macOS, dan Windows terdampak. Kode sumber resmi di GitHub bersih karena paket dibangun dari repositori tiruan milik penyerang.
Menurut laporan insiden LiteLLM, versi PyPI berbahaya aktif dari pukul 11.39 sampai 13.23 UTC, atau sekitar pukul 18.39 sampai 20.23 WIB. Image Docker dengan tag v1.107.0, latest, main-latest, dan main-stable mengarah ke image berbahaya dari pukul 11.46 sampai 14.20 UTC. Pelanggan enterprise yang menarik paket dari registri privat LiteLLM tidak terdampak.
Skalanya besar karena LiteLLM dipakai sangat luas. Datadog Security Labs mencatat pustaka ini diunduh sekitar 23 juta kali per minggu. StepSecurity menambahkan bahwa LiteLLM merilis 12 versi di empat jalur minor antara 17 dan 21 Oktober 2026, sehingga proyek yang memakai batasan versi terbuka seperti litellm>= otomatis menarik versi berbahaya saat instalasi ulang.
"Penyerang harus membobol beberapa kontrol keamanan yang saling independen agar berhasil," tulis tim LiteLLM dalam laporan yang ditandatangani CEO Krrish Dholakia, CTO Ishaan Jaffer, dan Director of Security Oliver Jensen. Ini adalah kompromi kedua LiteLLM sepanjang 2026, setelah insiden versi 1.82.7 dan 1.82.8 pada Maret lalu.
Cara Kerja Pencuri Kredensial di Paket LiteLLM
Paket berbahaya menanam tiga berkas, yaitu cook.pth, cook.py, dan sitecustomize.py, ke folder site-packages. Python menjalankan berkas jenis ini otomatis setiap kali interpreter menyala, sehingga malware aktif di semua proses Python pada mesin itu, bahkan pada program yang sama sekali tidak memakai LiteLLM.
Berkas pertama adalah pencuri kredensial yang menyedot kunci SSH dan GPG, kredensial AWS, Google Cloud, dan Azure, rahasia CI/CD, kata sandi peramban, token alat coding AI, serta kunci API penyedia model yang tersimpan di basis data proxy LiteLLM. Menurut Datadog, data itu dienkripsi dengan AES-256 dan RSA-4096, lalu dikirim ke domain tiruan www.litellm.dev.
Berkas kedua menjalankan proses latar yang setiap jam membaca alamat server dari sebuah berkas di GitHub, lalu mengunduh dan menjalankan kode Python dari alamat itu. Datadog melaporkan berkas tersebut hanya berisi nilai uji coba, sehingga belum terlihat muatan tahap kedua yang benar-benar dijalankan di lapangan.
Wiz menilai kombinasi berkas .pth dan sitecustomize.py sekaligus sebagai kasus pertama yang terdokumentasi di dunia nyata. Peneliti Wiz juga menemukan jejak kuat bahwa malware itu ditulis dengan bantuan model bahasa besar, terlihat dari nama variabel yang sangat panjang, penanganan error yang berlebihan, dan modul kode yang didefinisikan tetapi tidak pernah dipanggil.
Bagaimana Penyerang Membobol Jalur Rilis LiteLLM?
Penyerang memakai token OAuth GitHub CLI curian dari akun tiga engineer LiteLLM untuk menjalankan, menyetujui, lalu menghapus jejak alur rilis resmi. Alur itu diarahkan ke repositori tiruan Berri-AI/litellm, yang namanya hanya berbeda satu tanda hubung dari repositori asli BerriAI/litellm.
LiteLLM menjelaskan, satu token curian milik salah satu dari dua pemilik organisasi GitHub perusahaan. Token itu dipakai untuk mematikan proteksi branch dan memaksa perubahan workflow. Pada Senin sebelumnya, LiteLLM juga sempat memperluas izin rilis sementara agar dua engineer bisa menerbitkan perbaikan harian bagi pelanggan, langkah yang LiteLLM masukkan dalam penjelasan cara serangan ini berhasil.
Dugaan sumber kebocoran token justru berkaitan dengan alat AI. LiteLLM menemukan akun pengguna tak dikenal di deployment LiteLLM internal yang terbuka ke internet. Perusahaan menduga penyerang mengambil token dari log deployment itu, karena dalam situasi tertentu Claude Code menyisipkan token OAuth GitHub CLI ke badan respons yang kemudian tercatat di log.
"Maintainer sebaiknya mengunci alur rilis hanya ke repositori yang disetujui dan memperlakukan token CLI developer sebagai rahasia bernilai tinggi," tulis Ian Kretz, Senior Security Researcher Datadog. SafeDep, yang ikut menganalisis insiden ini, memeriksa 539 run GitHub Actions publik dan tidak menemukan satu pun yang membangun rilis berbahaya tersebut.
Langkah yang Perlu Diambil Perusahaan Pengguna LiteLLM
Perusahaan yang memasang LiteLLM 1.107.0 atau menjalankan image Docker terdampak pada 21 Oktober 2026 harus menganggap mesinnya sudah dibobol. Menghapus paket saja tidak cukup, karena berkas malware tetap tinggal di site-packages dan aktif lagi setiap kali Python atau pip dijalankan.
LiteLLM menyarankan tim menghapus cook.pth, cook.py, dan sitecustomize.py langsung dari shell, mematikan proses latar yang memegang berkas /tmp/remote_code_loader.lock, lalu memasang ulang versi 1.106.2 yang dikunci. Setelah itu, rotasi semua kredensial yang bisa dijangkau mesin, mulai dari peran IAM cloud sampai seluruh kunci penyedia model di basis data proxy.
Bagi perusahaan di Indonesia, insiden ini juga menyentuh kewajiban hukum. Pasal 46 ayat (1) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga jika terjadi kegagalan pelindungan data pribadi. Pelanggaran kewajiban itu diancam sanksi administratif.
Tim engineering di bank, fintech, e-commerce, dan instansi yang memakai LiteLLM sebagai gateway AI sebaiknya segera memeriksa lockfile dan image yang berjalan, mengunci versi dependensi, serta memindahkan kunci API ke pengelola rahasia terpusat. Gateway AI patut dijaga seketat sistem pembayaran, karena satu kebocoran bisa membuka akses ke seluruh akun model AI perusahaan.
(Burung Hantu Infratek / LiteLLM / Datadog / Wiz)
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Keamanan AI
🛡️ China Pakai Claude AI untuk Serangan Siber Pertama
🧠 Claude Temukan 493 Isu Keamanan di 25 Proyek Open Source, Termasuk OpenSSH
🤖 OWASP Top 10 Agentic AI: 10 Risiko Keamanan Agen AI bagi Perusahaan
🚫 Shadow AI: Bahaya Karyawan Pakai AI Tanpa Izin bagi Data Perusahaan
Sumber dan Referensi
[1] Contained: Oct 21, 2026 LiteLLM release v1.107.0 Compromised - LiteLLM
[2] LiteLLM supply chain compromise: What you need to know - Datadog Security Labs
[3] LiteLLM Compromised, Steals Credentials - Wiz
[5] Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor - SafeDep
[6] Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK