LiteLLM bị tấn công chuỗi cung ứng: khởi nguồn từ một master key bị lộ

Vụ tấn công chuỗi cung ứng nhắm vào LiteLLM — một AI gateway mã nguồn mở phổ biến — đã được truy ngược về một master key bị vô tình đưa lên một kho GitHub công khai từ hồi tháng 5, nhưng không bao giờ được thu hồi.

Đây là lời nhắc nhở đắt giá về việc quản lý và luân chuyển khóa bí mật — một bài học mà nhiều đội ngũ phát triển tại Việt Nam cũng cần đặc biệt lưu tâm, khi các công cụ AI và nền tảng đám mây ngày càng được tích hợp sâu vào quy trình sản phẩm.

Diễn biến vụ tấn công

Theo báo cáo điều tra công bố ngày 24 tháng 10 của LiteLLM, chuỗi tấn công bắt đầu khi kẻ xấu đăng tải một phiên bản bị nhiễm độc — 1.107.0 — của gói mã nguồn mở này lên PyPI và các container registry vào thứ Tư tuần trước.

Phiên bản bị xâm nhập chứa một infostealer (mã độc đánh cắp thông tin) và một trojan truy cập từ xa có khả năng thực thi mã tùy ý trên các máy bị nhiễm. Dù gói độc hại chỉ tồn tại trên PyPI chưa đầy hai giờ trước khi bị cách ly, nó đã ghi nhận khoảng 49.000 lượt tải trong khoảng thời gian đó, theo ước tính của Wiz.

Lỗ hổng bắt đầu từ tháng 5

LiteLLM đã truy vết toàn bộ chuỗi tấn công về ngày 27 tháng 5, khi một tệp cấu hình chứa master key bị commit vào kho công khai LiteLLM-Labs/lite-harness. Khóa này thuộc về một công cụ mã nguồn mở được LiteLLM dùng nội bộ để điều phối các AI agent.

"Vào ngày 10 tháng 10, kẻ tấn công đã sử dụng khóa này để truy cập vào LiteLLM Agent Platform và trích xuất GitHub CLI OAuth token", báo cáo hậu sự cố cho biết. "Từ thời điểm đó trở đi, kẻ tấn công có quyền cấp owner trên toàn bộ kho mã nguồn của chúng tôi trên GitHub."

Nhóm phát triển đã nhanh chóng phát hiện lỗi và xóa commit bị lộ, nhưng lại không thu hồi (revoke) master key — chính sơ suất này đã mở toang cánh cửa cho cuộc tấn công.

Vì sao token GitHub CLI đặc biệt nguy hiểm?

Điểm nghiêm trọng nằm ở chỗ GitHub CLI token là loại "post-2fa", tức là chúng không kích hoạt chế độ xác thực sudo của GitHub — luồng xác thực thường được yêu cầu khi thực hiện các thao tác có tác động lớn lên kho mã nguồn.

Kẻ tấn công đã lợi dụng token để tạo các commit độc hại vào nhiều nhánh của các kho nội bộ khác, bao gồm cả các workflow được thiết kế để đánh cắp token và bí mật có sẵn trong quá trình tích hợp liên tục (CI).

Từ đó, chúng tiếp tục lấy được:

• GitHub CLI OAuth token của hai kỹ sư có quyền maintainer
• Token của một số hệ thống nội bộ khác
• Các khóa và token bổ sung, với trọng tâm chính là token của API suy luận (inference) thượng nguồn

Đáng lo ngại hơn, mọi thao tác và phê duyệt đều trông như đến từ các kỹ sư hợp lệ có đủ thẩm quyền, khiến các thay đổi khó bị phát hiện.

Phạm vi dữ liệu bị đánh cắp

Các infostealer ẩn trong gói bị nhiễm được thiết kế để thu thập một lượng lớn thông tin nhạy cảm, bao gồm:

• Thông tin đăng nhập và cookie trình duyệt từ Chrome, Firefox, Edge và Safari
• Thông tin xác thực AWS
• Khóa tài khoản dịch vụ Google Cloud Platform và thông tin xác thực mặc định của ứng dụng
• Token Microsoft Azure
• API key của OpenAI, Anthropic, Cohere và nhiều nhà cung cấp LLM khác

Người dùng cần làm gì?

LiteLLM cho biết đang thu hồi mọi token liên quan đến từng hệ thống nội bộ và nền tảng nhà cung cấp. Nhóm phát triển nhấn mạnh vụ việc là minh chứng rõ ràng cho rủi ro khi không luân chuyển một khóa có khả năng đã bị lộ.

Nếu bạn đã cài đặt và chạy phiên bản 1.107.0, hãy coi như mọi thông tin xác thực mà hệ thống đó có thể truy cập đều đã bị đánh cắp. Các bước cần thực hiện ngay:

• Điều tra các hệ thống bị ảnh hưởng
• Đổi mật khẩu
• Luân chuyển toàn bộ khóa và token có nguy cơ bị lộ
• Rà soát lại log truy cập bất thường trên GitHub và các nền tảng đám mây

Với các đội ngũ phát triển tại Việt Nam đang dùng các AI gateway mã nguồn mở, đây là dịp để siết lại quy trình quản lý bí mật: kiểm tra secret scanning, bật cảnh báo khi phát hiện khóa trong commit, và thiết lập chính sách xoay vòng khóa định kỳ thay vì chỉ xóa commit khi phát hiện sự cố.