Upublicznienie klucza w repozytorium lite-harness
Zespół LiteLLM ujawnił, że klucz główny platformy Agent Platform został przypadkowo opublikowany w publicznym repozytorium GitHub pod koniec maja 2026 roku. Według komunikatu błąd ten pozwolił osobie atakującej na przejęcie procesu publikacji i wydanie złośliwej wersji pakietu Python.
Zdarzenie miało początek 27 maja 2026 roku, gdy w publicznym repozytorium LiteLLM-Labs/lite-harness zatwierdzono plik konfiguracyjny. Plik ten zawierał klucz główny do działającego wdrożenia usługi.
Kradzież tokenów i przejęcie potoku wydań
Ujawniony klucz posłużył osobie atakującej do kradzieży tokenów GitHub. Przejęte poświadczenia umożliwiły intruzowi modyfikację procesu wydań i umieszczenie zainfekowanego wydania biblioteki w oficjalnym kanale dystrybucji.
