Утечка главного ключа LiteLLM позволила украсть ключи GitHub и захватить конвейер выпуска

LiteLLM сообщил, что главный ключ Agent Platform, опубликованный в открытом репозитории GitHub в мае 2026 года, не был отозван. 10 октября неизвестный злоумышленник использовал этот ключ для получения OAuth-токена GitHub, связанного с учетной записью владельца организации GitHub, и получил доступ к репозиториям и дополнительным учетным данным. Затем злоумышленник изменил конвейер выпуска и опубликовал вредоносную версию LiteLLM 1.107.0 в PyPI, Docker Hub и GHCR.