LiteLLM 악성 배포 사고 — AI API 게이트웨이에서 개발자·클라우드 자격증명까지 위험해졌습니다
오픈소스 LLM 게이트웨이 LiteLLM 운영진은 10월 21일 릴리스 자동화 경로가 침해돼 악성 버전 1.107.0이 PyPI와 Docker 이미지 저장소에 배포됐다고 밝혔습니다. PyPI의 해당 패키지는 10월 21일 11:39~13:23 UTC, Docker Hub의 관련 태그는 11:46~14:20 UTC 사이에 영향을 받았습니다. 운영진은 이미 악성 산출물을 삭제하거나 안전한 이미지로 교체했고, 기업용 비공개 레지스트리의 별도 릴리스는 영향받지 않았다고 설명했습니다.
핵심 사실
오픈소스 LLM 게이트웨이 LiteLLM 운영진은 10월 21일 릴리스 자동화 경로가 침해돼 악성 버전 1.107.0이 PyPI와 Docker 이미지 저장소에 배포됐다고 밝혔습니다. PyPI의 해당 패키지는 10월 21일 11:39~13:23 UTC, Docker Hub의 관련 태그는 11:46~14:20 UTC 사이에 영향을 받았습니다. 운영진은 이미 악성 산출물을 삭제하거나 안전한 이미지로 교체했고, 기업용 비공개 레지스트리의 별도 릴리스는 영향받지 않았다고 설명했습니다. 그러나 산출물을 삭제했다고 과거 내려받아 실행한 환경의 피해 가능성까지 없어지는 것은 아닙니다.
운영진은 세 개발자 계정의 GitHub CLI OAuth 토큰이 악용돼 릴리스 워크플로 변경·승인에 사용된 것으로 파악했습니다. 10월 23일 Microsoft 보안연구진의 별도 기술분석은 악성 Python 휠이 정상적인 import 없이도 Python 인터프리터 시작 과정의 특수 파일을 통해 실행될 수 있었음을 설명했습니다. 악성 코드의 목표에는 클라우드 자격증명, 모델 제공업체 API 키, 개발자 도구 인증정보, 데이터베이스 연결정보 등이 포함됐습니다.
배경
LiteLLM 같은 게이트웨이는 여러 AI 모델의 인증키와 사용량·라우팅 정책을 한곳에서 다루기 때문에 공격자에게 가치가 높습니다. 이번 사건은 정상적인 소스 저장소의 태그 내용이 안전해도 실제 다운로드되는 빌드 산출물이 변조될 수 있음을 보여줍니다. 10월 23일 공개된 운영진의 최종 사고 경위는 초기 보고를 수정했습니다. 운영진에 따르면 5월 27일 공개 저장소에 노출된 내부 에이전트 플랫폼의 마스터 키가 폐기되지 않았고, 공격자는 이를 이용해 10월 10일 조직 소유자의 GitHub CLI 토큰을 확보한 뒤 다른 유지관리자의 토큰까지 탈취했습니다. 이는 회사가 재구성한 사고 경위이며, 독립 조사기관이 모든 피해 범위를 확정했다는 뜻은 아닙니다.
의미
AI 인프라의 공급망 공격은 모델 자체뿐 아니라 패키지 배포·컨테이너 이미지·CI/CD 승인 경로까지 점검해야 한다는 문제를 드러냈습니다. 특히 모델 프록시는 여러 제공업체의 키를 모아두는 만큼 단일 침해가 복수 클라우드·모델 계정의 비용과 데이터 보안에 영향을 줄 수 있습니다. 오픈소스 도구를 사용한다는 사실과 해당 릴리스의 무결성이 보장된다는 주장은 구분해야 합니다.
확인한 것과 불확실한 것
악성 버전과 배포 시간, 영향을 받은 이미지 태그, 운영진의 차단 조치는 LiteLLM 공식 사고보고에서 확인했습니다. Python 시작 단계의 악성 실행 경로와 자격증명 수집 기능은 Microsoft Security의 10월 23일 기술분석에서 교차 확인했습니다. 초기 사고보고의 토큰 유출 경로 가설은 최종 보고에서 수정됐으므로 두 문서를 구분했습니다. 악성 산출물을 내려받은 모든 시스템에서 실제 정보 탈취가 성공했다고 단정하지 않습니다.
추가 취재할 독자의 질문
조직의 개발 PC, CI 러너, Kubernetes 작업 및 프록시 서버가 문제의 버전·이미지를 해당 시간대에 실행했는지 확인해야 합니다. 영향을 받은 환경에서는 패키지만 업데이트하지 말고 격리된 방법으로 점검하고, 접근할 수 있었던 모델 키·클라우드 권한·데이터베이스 암호를 교체할 필요가 있습니다. 공식 사고보고는 감염이 의심되는 환경에서 Python이나 pip를 먼저 실행하지 말라고 경고합니다. 도구 공급자의 자격증명이 빌드 승인과 배포를 동시에 통과할 수 있는지도 재검토해야 합니다.
출처
LiteLLM — Contained: Oct 21, 2026 LiteLLM release v1.107.0 Compromised Microsoft Security — Inside the LiteLLM 1.107.0 supply chain compromise
후속 확인 출처: LiteLLM — 10월 23일 공개된 최종 사고 경위와 초기 설명 정정