LiteLLM 공급망 공격 분석: AI 에이전트 생태계를 위협하는 자격 증명 탈취 사고

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

핵심 요약

2026년 3월 24일, AI 에이전트 프레임워크의 핵심 의존성인 LiteLLM 패키지가 PyPI 공급망 공격을 받아 악성 버전 1.82.7과 1.82.8이 배포되었다. 공격자는 관리자 계정을 탈취한 후 Python 실행 시 자동 실행되는 .pth 파일을 심어 환경 변수, AWS/GCP 자격 증명, SSH 키 등을 수집하고 RSA 암호화하여 외부로 전송하는 페이로드를 삽입했다. 약 4시간의 노출 시간 동안 CrewAI, DSPy 등을 설치하거나 업데이트한 사용자는 전이 의존성을 통해 감염되었을 위험이 매우 높다. 현재 악성 버전은 PyPI에서 제거되었으나, 해당 기간 중 설치 기록이 있다면 즉시 가상 환경을 삭제하고 모든 비밀값을 교체해야 한다.

배경

Python 패키지 관리(pip, venv)에 대한 이해, CI/CD 파이프라인 및 환경 변수 보안 개념, 공급망 보안 및 의존성 관리 기초 지식

대상 독자

Python 기반 AI/ML 서비스를 구축하거나 에이전트 프레임워크를 사용하는 개발자 및 보안 담당자

의미 / 영향

이번 사고는 AI 생태계의 높은 상호 의존성이 보안의 단일 실패 지점(Single Point of Failure)이 될 수 있음을 경고한다. 개발 편의성을 위해 최신 버전을 선호하는 관행보다 보안이 검증된 특정 버전을 고정하고 잠금 파일을 사용하는 엄격한 의존성 관리가 프로덕션 환경의 필수 요건임을 시사한다.

섹션별 상세

공격자는 LiteLLM 메인테이너의 PyPI 계정을 탈취하여 공식 GitHub 태그에도 없는 악성 버전 1.82.7과 1.82.8을 배포했다. 1.82.7은 특정 모듈 임포트 시 실행되지만, 1.82.8은 .pth 파일을 활용해 패키지가 설치만 되어 있어도 Python 인터프리터가 시작될 때마다 페이로드가 자동 실행되는 치명적인 방식을 취했다. 이는 사용자가 코드를 실행하지 않고 pip install이나 pytest만 수행해도 시스템 정보가 유출될 수 있음을 의미한다.

악성 페이로드는 이중 Base64 인코딩으로 탐지를 회피하며 시스템 내 거의 모든 민감 정보를 수집하도록 설계되었다. 환경 변수의 모든 API 키, ~/.aws/credentials의 클라우드 권한, SSH 개인 키, Kubernetes 설정 파일, Git 및 Docker 인증 정보 등이 수집 대상에 포함되었다. 수집된 데이터는 AES-256-CBC로 암호화된 후 공격자만이 해독할 수 있는 4096비트 RSA 공개 키로 보호되어 공격자 서버로 전송되었다.

LiteLLM은 월간 9,500만 건 이상의 다운로드를 기록하며 CrewAI, DSPy, Browser-Use 등 주요 AI 프레임워크의 필수 의존성으로 자리 잡고 있어 피해 규모가 막대하다. 공격 발생 시간인 09:00~13:30 UTC 사이에 해당 프레임워크를 설치하거나 업그레이드한 사용자는 자신도 모르게 악성 코드를 내려받았을 가능성이 크다. 특히 모든 빌드에서 의존성을 새로 설치하는 CI/CD 파이프라인은 조직 전체의 관리자 권한이 유출될 수 있는 가장 위험한 타겟이 되었다.

Comet ML 팀은 사고 인지 즉시 50개 이상의 리포지토리를 전수 조사하고 감염된 CI 워크플로우를 식별하여 자격 증명을 즉시 교체했다. 조사 결과 poetry.lock이나 uv.lock과 같은 잠금 파일을 사용한 프로젝트는 PyPI의 악성 버전 배포와 무관하게 안전한 버전을 유지하여 피해를 면한 것으로 확인됐다. 이는 공급망 공격 방어를 위해 의존성 버전을 정확히 고정(Pinning)하고 잠금 파일을 사용하는 관행이 얼마나 중요한지를 입증한다.

bash

pip show litellm 2>/dev/null | grep Version

현재 Python 환경에 설치된 LiteLLM 버전을 확인하여 감염 여부를 체크하는 명령어

bash

find "$HOME" -type d -name "litellm-*.dist-info" 2>/dev/null | while read dir; do
  version=$(grep -m1 "^Version:" "$dir/METADATA" 2>/dev/null | awk '{print $2}')
  venv=$(echo "$dir" | sed 's|/lib/python.*/site-packages/.*||')
  if [ "$(printf '%s
1.82.7' "$version" | sort -V | head -1)" = "1.82.7" ]; then
    echo "!! AFFECTED $version $venv"
  else
    echo " ok $version $venv"
  fi
done

시스템 내 모든 가상 환경을 검색하여 악성 LiteLLM 버전 설치 여부를 전수 조사하는 스크립트

실무 Takeaway

LiteLLM 1.82.7 또는 1.82.8 버전이 설치된 환경은 즉시 삭제하고, 해당 환경에서 노출되었을 가능성이 있는 모든 API 키와 클라우드 자격 증명을 즉시 로테이션해야 한다.
공급망 공격에 대비하기 위해 CI/CD 파이프라인에서 bare pip install 대신 poetry.lock이나 uv.lock 같은 잠금 파일을 사용하여 의존성 버전을 엄격히 통제해야 한다.
GitHub Action 사용 시 태그(v1) 대신 불변하는 SHA 값을 참조하도록 설정하여 액션 메인테이너의 계정 탈취로 인한 2차 피해를 방지해야 한다.

언급된 리소스

문서GitHub Issue - Malicious Payload Analysis

API DocsLiteLLM Security Advisory