渡辺 育海
セキュリティ公開日

LiteLLMのサプライチェーン攻撃とは？影響を受けるバージョンの確認方法と対応

LiteLLMのサプライチェーン攻撃とは？影響を受けるバージョンの確認方法と対応

この記事のポイント

  • AIモデルを呼び出すためのツール「LiteLLM」で、2026年10月21日に不正なバージョン1.107.0が配布された。AIのAPIキーやクラウドの認証情報などを盗む仕組みで、盗まれた認証情報の悪用もセキュリティ企業のWizが観測している
  • 不正なバージョンは、その環境でPythonを起動するだけで動く。パッケージやタグを削除しても、復旧にはならない
  • 1.107.0を導入・起動した環境は侵害されたものとして扱い、環境を作り直したうえで、その環境からアクセスできる認証情報をすべて再発行する必要がある。2026年11月2日時点のPyPIの最新バージョンは1.106.6

LiteLLMの侵害とは、AIモデルを呼び出すためのツール「LiteLLM」の不正なバージョンが配布された事件を指します。LiteLLMを利用する企業は、導入しているバージョンを確認し、影響を受けた認証情報を再発行する必要があります。開発元のBerriAIは、2026年10月21日に不正なバージョン1.107.0を取り下げました1。

LiteLLMは、アプリケーションとAIモデルをつなぐ役割を持ち、開発用のパソコンやテスト環境でも利用されています2。自社で導入した覚えがない場合も、開発担当者や委託先に確認しましょう。

最新の状況（2026年11月2日更新）

  • 10月28日：企業向けのライセンスで使うLiteLLMに、別の重大な脆弱性が公表されました。認証なしでマスターキーなどを読み取られるおそれがあります3。修正版は1.103.10・1.104.8・1.105.6・1.106.5です34。ライセンスを使わないオープンソースの利用は対象外です3。
  • 10月29日：最新バージョンは1.106.6になりました。PyPIの最新は1.106.6です5。Docker Hubの「latest」「main-stable」も1.106.6を指しています6。
  • 10月30日：GitHubの不正なパッケージの情報に、1.107.0が加わりました。3月の1.82.7・1.82.8と同じ項目です7。
  • 10月30日：開発元が、Dockerイメージの新しい署名の鍵を確かめる情報を公表しました。10月24日以降の版は新しい鍵で署名されています1。1.107.0のイメージにも古い鍵の正しい署名が付いており、署名だけでは見分けられません1。
  • 10月30日（現地の日付）：開発元が再発防止策を公表しました。所有者の権限を日常のアカウントから外すことなどを、期限付きで示しています8。

この記事では、次の内容を解説します（2026年11月2日時点の情報です）。

  • LiteLLMの侵害で何が起きたのか、不正なバージョンはどれか
  • 盗まれた認証情報が実際に悪用されたのか
  • 企業が確認すべき項目と、再発行が必要な認証情報
  • AIエージェント基盤の認証情報から被害が広がった経緯

LiteLLMの侵害とは

LiteLLMの侵害は、AIモデルを呼び出すためのツール「LiteLLM」の不正なバージョン1.107.0が、2026年10月21日に配布された事件です。

LiteLLMは、100種類以上のAIモデルをOpenAIと同じ形式で呼び出せるオープンソースのツールです9。アプリケーションとAIモデルをつなぐ役割を持つため、AIのAPIキーやデータベースの接続情報を保持する場合があります2。

不正なバージョンに関する情報は、次のとおりです（2026年11月2日時点）。

LiteLLMの不正なバージョン・PyPIでの配布の時間帯・Dockerイメージのタグ・盗まれるおそれがある情報・ダウンロード数・影響を受けない利用者を並べた表
図 1: LiteLLMの不正なバージョンに関する情報（2026年11月2日時点）

出典: LiteLLM1／Wiz10

不正なバージョンは、GitHubユーザーのLidorMachlufさんが配布から20分以内に発見し、報告しました11。セキュリティ企業のJFrog、Wiz、Microsoftも分析結果を公表しています12102。

パッケージの削除だけでは解消しない

不正なパッケージやタグを削除しても、すでに実行された不正なプログラムの影響や、盗まれた認証情報による被害は解消されません。不正なバージョンは、その環境でPythonを起動するだけで実行される仕組みでした2。Microsoftは、別のパッケージをインストールするためにPythonを起動しただけで、不正なプログラムが実行された事例を報告しています2。

そのため、Microsoftは、パッケージやタグを削除するだけでは復旧にならないとしています2。開発元も、外部と通信できる環境に1.107.0を導入していた場合、情報が外部に送信されたものと見なすよう求めています1。

2026年3月にも別の経緯で侵害されていた

LiteLLMでは、2026年3月24日にも不正なバージョン1.82.7・1.82.8が配布されており、今回が2026年に入って2回目の侵害です13。3月の事件について、開発元は、開発工程で使用していたセキュリティ検査ツール「Trivy」の侵害が発端だったと見ています13。

一方、今回の侵害は、後述するように、開発元のAIエージェント基盤の認証情報が起点となっています11。

盗まれた認証情報の悪用の状況

2026年11月2日時点で、盗まれた認証情報が実際に悪用されたことを、セキュリティ企業のWizが確認しています。Wizによると、攻撃者は情報を外部に送信してから約4.5時間後に、窃取したAWSの認証情報を使用しようとしました10。

その後、AWSで利用可能なAIモデルの一覧を取得する操作も行っています10。Wizは、この行動がAIモデルを不正利用する攻撃「LLMjacking」と同様の動きだと指摘しています10。一方、追加のプログラムを読み込んで実行する仕組みについては、使用された形跡が確認されていません102。

また、クラウドの実行環境を提供するRailwayも、10月21日（米国時間）に侵入を公表しました14。顧客の環境変数に保存されていたAPIキーなどが、読み取られたおそれがあるとしています14。

Railwayは、AIサービスの提供元への侵入を狙い、プラットフォーム企業を標的とする一連の攻撃の一部と見ていますが、LiteLLMの事件との関連については言及していません14。LiteLLMの開発元の発表でも、Railwayの事件には触れられていません111。

Railwayは、10月21日より前に登録した利用者に対し、Railwayに保存していた認証情報の再発行を推奨しています15。LiteLLMの不正なバージョンを導入した環境がある場合も、被害の確認を待たずに、認証情報の再発行を進めてください。

企業に求められる対応

不正なバージョンを一度でも実行した環境は、侵害されたものとして扱う必要があります。環境を作り直し、その環境からアクセスできる認証情報をすべて再発行してください12。

対応は、次の3つです。

  1. 導入しているバージョンを確認する
  2. 不正なバージョンを削除し、環境を作り直す
  3. 影響を受けた認証情報を再発行する

1. 導入しているバージョンを確認する

まず、10月21日の配布時間帯に、自社や委託先でLiteLLMを導入・起動していないか確認してください。開発元は、バージョンを固定せずにPyPIからインストールした場合と、4つのタグのDockerイメージを使用した場合を挙げています1。

主な確認対象は、次のとおりです2。

  • 開発者のパソコン
  • 自動でテストやビルドを行う環境（CI/CD）
  • コンテナやサーバー
  • 社内のパッケージ保管場所、pipなどのキャッシュ、ビルド成果物

開発元は、2026年3月の侵害について、AIエージェントの開発フレームワークなどを通じてLiteLLMが間接的に導入される場合もあると説明しています13。自社で導入した覚えがない場合も、開発担当者や委託先に確認してください。

開発元は、「pip show litellm」でバージョンを確認し、「litellm-1.107.0.dist-info」「cook.pth」「sitecustomize.py」のファイルを探すよう案内しています1。これらのファイルが見つかれば影響を受けたと判断できますが、見つからなくても安全とは言い切れないとしています1。

2. 不正なバージョンを削除し、環境を作り直す

1.107.0を導入していた場合は、その環境でPythonを起動せず、環境ごと作り直します。pipで再インストールする際にも、Pythonの起動によって不正なプログラムが再び実行されるおそれがあるためです1。開発元は、ファイルの削除手順を示したうえで、環境を一から作り直すことを推奨しています1。あわせて、裏で動き続けている不正なPythonのプロセスも停止します12。

再インストールするバージョンについて、開発元は10月21日に1.106.2へ固定するよう案内しました1。その後、1.106.3から1.106.6までが公開され、2026年11月2日時点のPyPIの最新バージョンは1.106.6（10月29日公開）です5。企業向けのライセンスで使う場合は、10月28日に公表された別の脆弱性も修正された版を選びます3。1.106系列では1.106.5以降です3。

Microsoftは、今後の対策として、バージョンとハッシュの固定を推奨しています2。Dockerイメージについても、「latest」のように内容が変わるタグではなく、イメージの識別子（ダイジェスト）を指定します2。なお、1.107.0のイメージには開発元の古い鍵による正しい署名が付いているため、署名の確認だけでは不正なイメージを見分けられません1。開発元は10月23日に署名の鍵を作り直しており、10月24日以降の版は新しい鍵で署名されています1。

3. 影響を受けた認証情報を再発行する

1.107.0が実行された環境からアクセスできる認証情報は、窃取されたものと想定し、すべて再発行します。開発元が特に挙げているのは、次の4つです1。

  • クラウドのサーバーに割り当てられた権限（IAMロール）
  • LiteLLMのデータベースに保存されたすべてのAIのAPIキーと、LiteLLMのマスターキー・仮想キー
  • データベース接続用のパスワード
  • その環境で実行されるプログラムの環境変数に保存されたすべての機密情報

Microsoftは、ソースコード管理やCI/CDの認証情報、SSHの鍵、AIコーディングツールの認証情報、ブラウザのログイン状態も対象に挙げています2。また、認証情報の再発行は安全なパソコンから行うことを推奨しています2。

あわせて、クラウドの操作ログを確認し、外部から認証情報が不正に使用されていないか調査してください1。

不正なバージョンが実行された環境は、パッケージを削除するだけでは復旧できません。環境を作り直し、アクセス可能だった認証情報を再発行するまでが必要な対応です。

AIエージェント基盤の認証情報が侵害の起点となった経緯

今回の侵害は、AIエージェント基盤の管理者用のキーが流出したまま無効化されず、その基盤に設定されていた広範な権限を持つ認証情報が奪われたことから始まりました。開発元が10月23日（米国時間）に公表した調査報告によると、経緯は次のとおりです（日付は米国時間）11。

  1. 2026年5月27日、社内のAIエージェント基盤の管理者用のキーが公開リポジトリに誤って掲載され、その後も無効化されませんでした。
  2. この基盤には、GitHub組織の所有者権限を持つ認証情報が、権限を制限されないまま設定されていました。
  3. 10月10日、攻撃者は流出した管理者用のキーを利用して所有者の認証情報を取得し、さらに別の開発者2人の認証情報も窃取しました。
  4. 10月21日、攻撃者は配布工程を書き換え、類似した名前のリポジトリから不正なバージョンを作成させ、別の開発者の認証情報を使って承認しました。

開発元は当初、社内のLiteLLMの記録から認証情報が盗まれたと考えていましたが、10月23日の調査報告で説明を修正しています11。また、流出した可能性のある認証情報を再発行しないことの危険性が、今回の事件で明らかになったとしています11。攻撃者は、ほかの社内システムでも、主にAIサービス提供元のAPIキーを探していました11。開発元は10月30日（現地の日付）に再発防止策を公表しました8。日常の作業に使うアカウントに所有者の権限を持たせないことや、流出した鍵は無効化を確かめてから対応を終える運用を挙げています8。

AIツールに認証情報を設定する際は、専用の認証情報を使用し、権限を必要最小限に制限することが重要です。また、流出が判明した場合は、速やかに無効化する必要があります。 ツールごとに設定している認証情報と再発行の担当者を一覧化しておけば、同様の事件が発生した際にも、対応が必要な認証情報を迅速に把握できます。

まとめ

LiteLLMの侵害とは、AIモデルを呼び出すためのツール「LiteLLM」の不正なバージョンが配布された事件を指します。LiteLLMを利用する企業は、導入しているバージョンを確認し、影響を受けた認証情報を再発行する必要があります。2026年11月2日時点で、盗まれた認証情報が実際に悪用されたことも観測されています。

まずは、10月21日にLiteLLM 1.107.0を導入・起動したかどうかを確認してください。導入していた場合は、環境を作り直し、その環境からアクセスできる認証情報をすべて再発行します。さらに、AIツールごとに設定している認証情報と再発行の担当者を一覧化しておきましょう。

当メディアでは、AIとセキュリティに関する情報やノウハウを発信しています。盗まれたAPIキーやクラウドの認証情報によって、自社システムのどこまで侵入されるおそれがあるかは、攻撃を再現することで確認できます。当社では、AIエージェントを活用して攻撃を再現するセキュリティ診断のご相談を受け付けています。

この記事に関連するよくある質問

Q.LiteLLMのサプライチェーン攻撃とは何ですか？

A.AIモデルを呼び出すためのツール「LiteLLM」の不正なバージョン1.107.0が、2026年10月21日に配布された事件です。AIのAPIキーやクラウドの認証情報、ブラウザに保存されたパスワードなどを盗む仕組みでした。開発元のBerriAIは、同日に1.107.0を取り下げました。

Q.影響を受けるのはLiteLLMのどのバージョンですか？

A.不正なのは1.107.0のみで、それ以前のバージョンは安全と開発元が説明しています。PyPIでは10月21日20時39分〜22時23分（日本時間）に配布されました。Docker HubとGitHubのコンテナ配布元（GHCR）では、「latest」を含む4つのタグが、同日の最長で23時20分まで不正な内容を指していました。

Q.不正なパッケージを削除すれば、対応は終わりますか？

A.終わりません。不正なバージョンはPythonを起動するだけで実行される仕組みで、削除しても実行済みのプログラムの影響や盗まれた認証情報による被害は解消されません。環境を作り直し、その環境からアクセスできる認証情報をすべて再発行する必要があります。

Q.盗まれた認証情報は、実際に悪用されましたか？

A.2026年11月2日時点で、セキュリティ企業のWizが悪用を確認しています。攻撃者は情報を外部に送信してから約4.5時間後に、窃取したAWSの認証情報を使用しようとし、AWSで利用可能なAIモデルの一覧を取得する操作も行いました。

脚注

（15件）

  1. LiteLLM「Security Incident: October 21, 2026」（2026年10月21日。10月23日・10月30日に追記） ↩︎ ↩︎2 ↩︎3 ↩︎4 ↩︎5 ↩︎6 ↩︎7 ↩︎8 ↩︎9 ↩︎10 ↩︎11 ↩︎12 ↩︎13 ↩︎14 ↩︎15 ↩︎16 ↩︎17 ↩︎18

  2. Microsoft Threat Intelligence「Inside the LiteLLM 1.107.0 supply chain compromise: Credential theft through Python startup hooks」（2026年10月23日） ↩︎ ↩︎2 ↩︎3 ↩︎4 ↩︎5 ↩︎6 ↩︎7 ↩︎8 ↩︎9 ↩︎10 ↩︎11 ↩︎12 ↩︎13 ↩︎14

  3. BerriAI「Unauthenticated file read leaks master key on Enterprise proxy」（GHSA-w4c7-34wj-hqm8。2026年10月28日〈日本時間〉公表） ↩︎ ↩︎2 ↩︎3 ↩︎4 ↩︎5

  4. LiteLLM「Introducing the LiteLLM Private Registry」（2026年10月27日） ↩︎

  5. PyPI「litellm」（2026年11月2日に確認） ↩︎ ↩︎2

  6. Docker Hub「litellm/litellm」のタグ（2026年11月2日に確認） ↩︎

  7. GitHub Advisory Database「Malicious code in litellm (PyPI)」（GHSA-92x9-889m-jgmw。2026年10月30日〈日本時間〉に更新） ↩︎

  8. LiteLLM「What we are changing after October 21」（2026年10月30日） ↩︎ ↩︎2 ↩︎3

  9. BerriAI「litellm」（GitHub） ↩︎

  10. Wiz「LiteLLM Compromised, Steals Credentials」（2026年10月21日） ↩︎ ↩︎2 ↩︎3 ↩︎4 ↩︎5 ↩︎6

  11. LiteLLM「The attack chain behind the v1.107.0 LiteLLM release」（2026年10月23日） ↩︎ ↩︎2 ↩︎3 ↩︎4 ↩︎5 ↩︎6 ↩︎7

  12. JFrog「LiteLLMが再び乗っ取り被害：悪意ある1.107.0のwheelが認証情報を窃取し、外部コードを読み込み」（2026年10月23日） ↩︎

  13. LiteLLM「Security Update: Suspected Supply Chain Incident」（2026年3月） ↩︎ ↩︎2 ↩︎3

  14. Railway「Security Disclosure: Wednesday October 21st」（2026年10月21日） ↩︎ ↩︎2 ↩︎3

  15. Railway「Preliminary Report: Oct 21st Security Incident」（2026年10月22日） ↩︎

関連記事

セキュリティ

【悪用を確認】Brotliの脆弱性（HTTP2Shell）とは？影響範囲と確認方法、企業が取るべき対応

Brotliの脆弱性とは、OpenAIのAIレッドチームが発見したデータ圧縮ライブラリの欠陥です。Node.jsだけでなく、Python・.NET・Envoyなど幅広いソフトウェアに影響し、米国のCISAは2026年10月27日（米国時間）に実際の悪用を確認しました。本記事では、影響を受けるソフトウェアと修正版、悪用の状況、企業が確認すべき項目と更新方法を解説します。

記事を読む

Next step

AIによる業務プロセスの再構築を、ご相談ください。

ご相談・お問い合わせ

サービスに関するご相談、お見積もり依頼など、お気軽にお問い合わせください。

会社概要

会社名、代表、設立日、資本金、事業内容、所在地などの情報をご覧いただけます。