Berri AI: Sicherheitsvorfall
Manipulierte Python-Pakete von LiteLLM auf PyPI stehlen Zugangsdaten und Schlüssel.

Am 21. Oktober 2026 kompromittierten Unbekannte die Release-Pipeline des Open-Source-Projekts LiteLLM. LiteLLM ist ein Python-SDK und KI-Gateway, das Anwendungen über eine gemeinsame Programmierschnittstelle (API) mit KI-Modellen verschiedener Anbieter verbindet. Das Projekt verzeichnet 92 Millionen Downloads pro Monat auf PyPI. Die Täter veröffentlichten Version 1.107.0 im Python Package Index (PyPI) und in der Docker-Registry. Sie enthielt kompilierte Schadsoftware, die Zugangsdaten stiehlt und Werkzeuge zur Remote-Code-Ausführung nachlädt. Kunden der privaten Enterprise-Variante waren nach Angaben des Maintainers nicht betroffen.

Betroffen waren alle sieben PyPI-Wheels, die von 11:39 bis 13:23 UTC online standen, sowie Docker-Hub-Images (11:46 bis 14:20 UTC) und GHCR-Images (ab 11:46 UTC, bis 13:51 UTC nicht mehr verfügbar). Mehrere Sicherheitsfirmen erkannten den Angriff binnen sechs Minuten. Der Angreifer änderte nicht den Anwendungscode, sondern nur das Installationspaket. Es legte die Dateien cook.pth, cook.py und sitecustomize.py im Bibliotheksverzeichnis von Python ab. So lief die Nutzlast bei jedem Python-Start vor der Anwendung, auch beim Aufruf von Python oder pip zur Untersuchung.

Die Malware griff Cloud-Zugangsdaten (AWS, Azure, Google Cloud, Kubernetes, Docker), KI-Zugangsdaten, Entwicklergeheimnisse wie Git-, GitHub-, npm-, PyPI- und CI/CD-Zugänge, .env-Dateien, SSH-, GPG- und TLS-Schlüssel, Browserdaten sowie Umgebungsvariablen ab. Die Daten wurden mit AES-256-CBC verschlüsselt, der Schlüssel mit RSA-4096, und an litellm[.]dev/healthcheck gesendet. Ein Loader prüfte stündlich einen auf GitHub gehosteten Verweis und lud Python-Code nach.

Die Betreiber entfernten die Pakete. Betroffene sollen Deployments stoppen, Umgebungen ohne Python-Interpreter prüfen, Systeme isolieren, aus sauberen Backups neu aufbauen und alle Zugangsdaten rotieren. Empfohlen ist Version 1.106.2. Bereits im März hatte die Gruppe TeamPCP schädliche LiteLLM-Versionen auf PyPI veröffentlicht, nachdem sie den Trivy-Scanner in der CI/CD-Pipeline kompromittiert hatte.