PyPI의 LiteLLM 1.107.0 버전에서 자격증 탈취와 백도어 발견

Python 패키지 저장소 PyPI에 업로드된 LiteLLM 1.107.0 버전이 악성 코드를 포함하고 있었다. 설치 시 사용자의 API 키, 토큰, 환경변수 같은 민감한 정보를 수집하고 원격 서버로 전송하는 기능과 공격자가 임의의 코드를 실행할 수 있는 백도어가 들어있었다.

LiteLLM은 여러 LLM 제공자(OpenAI, Anthropic, Google 등)와 통신하는 라이브러리로 AI 개발 프로젝트에서 널리 쓰인다. 이번 사건은 오픈소스 생태계에서 의존성 체인 공격의 위험성을 보여준다. 개발자들은 설치하는 패키지의 버전을 확인하고 의도하지 않은 버전 업그레이드를 방지해야 한다.