LiteLLM раскрыла причину заражения своего релиза: ключ экспериментальной платформы для агентов попал в публичный репозиторий 27 мая 2026 года. Ошибку заметили и переписали историю кода, но сам ключ не отозвали. По разбору от 23 октября, 10 октября злоумышленник воспользовался им и получил токен владельца организации GitHub.

Платформа должна была помогать агентам предлагать изменения в коде. Для этого ей выдали личный токен владельца вместо отдельной учётной записи с ограниченными правами. Через полученный доступ атакующий похитил ещё два токена разработчиков. При выпуске заражённой версии он смог выступить и инициатором, и подтверждающим: требование двух учётных записей сохранилось, но обе контролировал один противник. Обычно подтверждение было привязано к специальному аккаунту на физическом устройстве в офисе; ради частых выпусков это ограничение временно ослабили.

Исследователи Socket независимо восстановили запуск вредоносных заданий 10 и 12 октября — до публикации заражённого пакета 21 октября. Задания собирали секреты автоматической сборки в краткоживущих ветках, которые затем удаляли. Следы сохранились в метриках запусков и записях развёртывания. Socket оговаривает: успешный статус задания сам по себе не доказывает доставку похищаемых данных. Связь украденного токена с одобрением заражённого выпуска LiteLLM установила по своему журналу аудита.

В первой статье об атаке было известно, как официальная сборка взяла подменённый код, но первоначальный вход оставался неизвестным. Новый разбор показывает, как забытый доступ к экспериментальному сервису превратился в полномочия на выпуск программы для пользователей. Число заражённых установок и объём украденных у клиентов данных по-прежнему не раскрыты.