Pihak pengelola LiteLLM pada hari Jumat membeberkan insiden keamanan serius saat master key milik Agent Platform mereka secara tidak sengaja terunggah ke repositori publik GitHub pada akhir Mei 2026, yang pada puncaknya membuka jalan bagi pelaku ancaman siber untuk meluncurkan versi berbahaya dari paket Python populer tersebut ke publik.
"Pada 27 Mei 2026, sebuah berkas konfigurasi secara keliru terdorong masuk ke repositori publik LiteLLM-Labs/lite-harness yang ternyata memuat master key menuju deployment sistem LiteLLM Agent Platform, yakni instrumen sumber terbuka internal yang kami fungsikan untuk mengorkestrasi berbagai agen," tutur dua perwakilan LiteLLM, Oliver Jensen bersama Mateo Wang.
"Kekeliruan tersebut lekas disadari dan kami langsung menimpanya melalui metode force-push, serta menandai kumpulan kunci rahasia yang terekspos itu sebagai data kredensial yang wajib segera dicabut izinnya. Kendati demikian, prosedur pencabutan akses rupanya terlewatkan dan tidak terlaksana untuk master key tersebut."
Pihak LiteLLM menerangkan bahwa pelaku peretasan yang beroperasi menggunakan alamat IP "69.48.229[.]143" menyalahgunakan kunci yang belum sempat dicabut tersebut pada 10 Oktober 2026. Aktor ancaman berhasil menyusup ke lingkungan Agent Platform lalu menguras token OAuth GitHub CLI, yaitu kredensial yang sebelumnya dikonfigurasi guna memfasilitasi agen cloud mandiri dalam mengirimkan pull request secara otomatis ke repositori GitHub.
Token akses tersebut, menurut pemaparan tim pengembang gerbang model bahasa besar (LLM) open-source ini, sama sekali "tidak dibatasi cakupannya" (not scoped down) dan secara langsung terikat dengan akun pemilik hierarki tertinggi di organisasi GitHub mereka.
Penguasaan atas token administratif tingkat tinggi tersebut secara otomatis memberikan pelaku kendali penuh setara level pemilik atas seluruh repositori yang berada di bawah naungan organisasi, sekaligus memicu serangkaian tindakan pencurian data kredensial tambahan secara masif. Adapun urutan langkah taktis yang dilancarkan oleh pelaku penyerangan sesudah tahap penyusupan awal tersebut meliputi runtutan sebagai berikut:
"Dalam prosedur kerja standar kami, proses pembangunan kompilasi serta penerbitan rilis baru wajib dipicu oleh seorang insinyur resmi dan selanjutnya disetujui melalui akun verifikasi khusus yang terkunci secara permanen pada perangkat fisik di kantor kami," jelas tim teknis LiteLLM.
"Kebijakan pembatasan ketat ini sempat dilonggarkan pada awal pekan tersebut guna mengakomodasi dorongan sementara dalam mempercepat siklus rilis dan pengiriman perbaikan bug ke versi terdahulu, sehingga memungkinkan sembarang dua insinyur internal untuk memicu sekaligus menyetujui rilis paket. Memanfaatkan celah kelonggaran ini, pelaku ancaman mempergunakan salah satu token untuk meluncurkan rilis (sesudah mengarahkan mesin deployer ke repositori jahat milik mereka), dan memakai token lainnya untuk mengesahkan persetujuan rilis tersebut."
Di samping fakta operasional tersebut, pengelola proyek menggarisbawahi bahwa pelaku kejahatan sebenarnya memiliki kewenangan penuh untuk melonggarkan proteksi itu secara mandiri (atau bahkan menghapusnya sama sekali tanpa jejak) berkat kepemilikan token dari akun pemilik organisasi. Diperkirakan bahwa pelaku sengaja tidak mengubah aturan secara drastis demi mengelabui sistem pengawasan dan menghindari deteksi keamanan dini.
LiteLLM turut menyatakan bahwa alur kerja (workflow) otomatis yang disusupi penyerang dirancang khusus untuk memindai serta mengekstrak berbagai kunci dan token rahasia tambahan, terutama yang terfokus pada token API inferensi dari penyedia hulu. Menanggapi insiden kebocoran berskala luas ini, perseroan menyatakan tengah mengambil langkah agresif untuk mencabut setiap token yang terhubung dengan seluruh sistem internal maupun platform pihak ketiga.
Fakta Tambahan Mengenai Alur Kerja Berbahaya Terungkap
Perusahaan keamanan perangkat lunak Socket, yang merilis laporan investigasi independen mereka mengenai serangkaian alur kerja berbahaya tersebut, mengungkapkan temuan dua commit berbahaya yang masing-masing menambahkan alur kerja tersembunyi pada direktori ".github/workflows/cache.yml." Tindakan commit pertama dilancarkan pada tanggal 10 Oktober 2026 tepat pukul 22:11:45 UTC, yang kemudian disusul oleh tindakan commit kedua pada 12 Oktober.
"Kedua commit tersebut tidak pernah diunggah ke branch yang saat ini masih eksis," beber Karlo Zanki, peneliti keamanan dari Socket, dalam analisis mendalam yang dibagikan kepada The Hacker News. "Keduanya sengaja didorong menuju branch berumur sangat pendek dengan format penamaan ci-tmp-<hex> yang sengaja dibuat, dieksekusi, lalu dimusnahkan hanya dalam hitungan beberapa menit, sehingga aktivitas mencurigakan ini nyaris tidak meninggalkan rekam jejak apa pun pada riwayat penelusuran normal repositori."
Merujuk pada telaah mendalam firma keamanan aplikasi tersebut terhadap rekaman log aktivitas repositori, kedua commit gelap tersebut memanfaatkan commit absah yang sah sebagai basis percabangan agar pengunggahan kode tampak wajar dan tidak memancing kecurigaan:
Kedua alur kerja otomatis tersebut, sebagaimana digarisbawahi oleh pengembang LiteLLM, diprogram dengan kemampuan untuk menguras token GitHub beserta API key milik ruang kerja Linear organisasi, sistem deployment internal LiteLLM, hingga infrastruktur Together AI, lengkap dengan nomor pengenal serta kunci penandatanganan digital dari GitHub App resmi.
Eksekusi kode pada tanggal 12 Oktober memperluas jangkauan panen data rahasia ke instrumen kredensial yang lebih masif, mencakup API key untuk Anthropic, OpenAI, AWS Bedrock, mesin pencari Tavily, hingga tenant pemindaian rahasia GitGuardian. Alur kerja tersebut juga menguras data sesi penyimpanan Playwright, konfigurasi database PostgreSQL (berupa string koneksi, nama akun, kata sandi), serta alamat endpoint server Redis beserta port dan kredensial autentikasinya.
Seluruh kumpulan informasi rahasia yang dikeruk secara sistematis melalui kedua alur kerja tersebut kemudian diselundupkan keluar menuju dua titik akhir pelaporan webhook[.]site yang berbeda:
"Sebuah token GitHub serta private key milik GitHub App merupakan kredensial otoritas langsung bagi platform yang meng-host repositori bersangkutan, bukan sekadar akses pihak ketiga biasa," tegas Zanki. "GITGUARDIAN_API_KEY adalah kredensial tingkat tinggi bagi platform pemindaian rahasia itu sendiri, yang memberikan penyerang transparansi penuh serta potensi kendali atas sistem peringatan dini yang seharusnya membunyikan alarm terhadap manuver mencurigakan ini.
"Sementara itu, E2E_LINEAR_STORAGE_STATE_B64 merupakan rekaman status sesi peramban terenkripsi yang digunakan oleh Playwright untuk pengujian menyeluruh (end-to-end); keberadaan session state yang sah memungkinkan penyerang masuk secara terautentikasi ke dalam akun Linear terkait tanpa memerlukan input kata sandi maupun verifikasi autentikasi multi-faktor sama sekali."
Serangkaian penemuan teknis ini mematahkan dugaan awal pihak LiteLLM yang mengira bahwa token OAuth GitHub CLI tersebut bocor dari rekaman log sistem deployment internal mereka. "Proses investigasi merupakan perjalanan berkesinambungan di mana kami terus mendapati data-data faktual baru, yang membuktikan bahwa sejumlah asumsi maupun hipotesis awal kami di masa lalu ternyata kurang tepat atau bahkan tidak lengkap," aku Jensen secara terbuka.
Dampak dan Mekanisme Kerja Paket Versi Berbahaya
Sejumlah laporan teknis mengonfirmasi bahwa bundel berkas yang disisipkan ke dalam LiteLLM versi 1.107.0 telah dimodifikasi sedemikian rupa agar dapat langsung aktif dan berjalan secara otomatis begitu interpreter Python dijalankan pada perangkat, sekalipun program atau aplikasi pengguna sama sekali tidak mengimpor modul LiteLLM.
Program jahat ini mengandalkan dua jalur eksekusi utama: modul pencuri kredensial yang menyasar data autentikasi pada berbagai perkakas pengembang, aplikasi berbasis kecerdasan buatan, lingkungan cloud, dan peramban web, serta sebuah pintu belakang (backdoor) berbasis Unix yang dijalankan diam-diam sebagai proses latar belakang untuk mengunduh lalu mengeksekusi instruksi kode bebas kiriman penyerang secara berkala setiap satu jam sekali.
Modul pencuri tersebut juga secara aktif mengumpulkan data profil sistem, berkas konfigurasi SSH, kredensial beserta token Git dan GitLab, variabel lingkungan (environment variables), serta token otorisasi repositori perangkat lunak seperti npm, PyPI, pip, Yarn, Maven, Gradle, Composer, RubyGems, dan Cargo. Semua hasil jarahan kemudian dipadatkan lalu dikirimkan ke alamat "litellm[.]dev/healthcheck" lewat permintaan HTTP POST. Domain samaran ini tercatat baru didaftarkan secara sengaja pada 13 Oktober 2026.
"Secara terpadu, mekanisme infiltrasi ganda ini memperluas radius dampak bahaya melampaui instalasi aktif LiteLLM semata: sekadar mengeksekusi bahasa pemrograman Python di dalam ekosistem yang terinfeksi sudah cukup untuk memicu skrip berbahaya tersebut, kendati paket LiteLLM itu sendiri tidak pernah dipanggil," ungkap tim riset Microsoft Security Research.
"Oleh karena berkas pemicu otomatis ini ditempatkan di luar direktori utama aplikasi LiteLLM, menghapus folder aplikasi LiteLLM saja berpotensi meninggalkan komponen berbahaya yang tetap aktif tertinggal di dalam sistem operasi."
About the Author
