Eine verbreitete Software, mit der Programme verschiedene KI-Modelle ansprechen, wurde am 21. Oktober für rund zwei Stunden mit Schadcode ausgeliefert. Was gesichert ist, was noch unklar ist und wie du prüfst, ob dein Dienstleister betroffen sein könnte.
Die meisten Betriebe haben LiteLLM nie installiert. Trotzdem kann ein Werkzeug, das du nutzt, es im Inneren verwenden. Wir haben die Meldung von LiteLLM und die Berichte der Sicherheitsfirmen gelesen und trennen, was gesichert ist, was nur berichtet wird und was noch unklar ist.
LiteLLM ist eine Open-Source-Software, über die Programme viele verschiedene KI-Modelle mit einer einheitlichen Schnittstelle ansprechen. Laut der Meldung von LiteLLM wurde am 21. Oktober 2026 über die Release-Pipeline die Version 1.107.0 mit Schadcode veröffentlicht. Sie war bei PyPI, dem Paketverzeichnis für Python, von 11:39 bis 13:23 Uhr UTC erhältlich, die Docker-Images bis 14:20 Uhr UTC. Der Schadcode stiehlt laut LiteLLM Zugangsdaten und lädt Werkzeuge zum Fernzugriff nach. Sicherheitsfirmen wie Socket und die Berichte bei The Hacker News ergänzen, er sammle unter anderem Schlüssel für Cloud und KI-Dienste, Umgebungsvariablen und Browserdaten.
Nach den Angaben von LiteLLM wurden die Aktionen über die GitHub-Konten dreier Ingenieure ausgeführt, vermutlich mit gestohlenen Anmeldedaten, und der Angriff lief gegen ein täuschend ähnliches Repository („Berri-AI“ statt „BerriAI“). Frühere Versionen gelten als sicher, empfohlen wird die Version 1.106.2. Kunden mit dem privaten Enterprise-Zugang sind laut LiteLLM nicht betroffen. Wer die Version 1.107.0 installiert oder gestartet hat, soll laut LiteLLM davon ausgehen, dass das System kompromittiert ist, die Zugangsdaten tauschen und die Umgebung neu aufbauen. Ein Hinweis aus der Meldung: Nicht zuerst „pip install“ ausführen, weil schon der Start von Python den Schadcode nachlädt.
Ob Daten tatsächlich abgeflossen sind, ist nach LiteLLM nicht bestätigt. Offen sind der ursprüngliche Angriffsweg, wie die Angreifer an die Zugangsdaten kamen, wer sie sind, wie viele Nutzer betroffen waren und was die zweite Stufe des Schadcodes tut. Die Zeitfenster der Quellen weichen leicht voneinander ab, wir nennen die von LiteLLM. Die Untersuchung lief nach der Meldung von LiteLLM am Abend des 21. Oktober weiter, spätere Angaben haben wir nicht geprüft. Wir bewerten LiteLLM nicht, und wir können für kein Werkzeug sagen, ob es die Software enthält.
Die gute Nachricht: Die meisten Betriebe nutzen LiteLLM nicht selbst. Es ist ein Werkzeug für Entwickler und steckt in manchen KI-Programmen, Assistenten und Agenten, die Dienstleister betreiben. Betroffen sein könnte also ein Dienstleister oder ein Werkzeug, nicht dein Rechner. Das Zeitfenster war kurz. Betroffen sind laut LiteLLM Nutzer, die die Version in diesem Fenster installiert oder die Docker-Images gestartet haben. Dass bei den meisten Betrieben nichts passiert ist, ist unsere Einordnung und keine Aussage von LiteLLM.
Trotzdem lohnt eine kurze Prüfung, vor allem, wenn ein Dienstleister für dich KI-Anwendungen betreibt: Setzt er LiteLLM ein, und in welcher Version? Wurde in der Nacht zum 21. Oktober aktualisiert? Wurden Schlüssel für KI-Dienste getauscht? Der Vorfall zeigt zudem ein Grundproblem: Eine Software, der du vertraust, kann über ihre Lieferkette selbst zum Risiko werden. Deshalb lohnt es sich, für jedes KI-Werkzeug eigene Schlüssel mit Ausgabenlimit zu haben, die sich einzeln sperren lassen.
Wir wissen nicht, wie viele Systeme betroffen sind, und wir können nicht beurteilen, ob dein Dienstleister die Software nutzt. Wenn er sie nutzt und im Zeitfenster aktualisiert hat, ist das ein Fall für ihn und seinen Sicherheitsverantwortlichen und nicht für einen Blogbeitrag. Die Hinweise zu Schlüsseln und Limits sind eine allgemeine Vorsorge und kein Beleg dafür, dass bei dir etwas passiert ist.
Fünf Minuten: Schreib auf, welche KI-Anwendungen für dich laufen und wer sie betreibt, dein eigenes Team oder ein Dienstleister. Fünf Minuten: Schick jedem Dienstleister drei Fragen, ob er LiteLLM nutzt, ob er am 21. Oktober zwischen 13:39 und 16:20 Uhr (MESZ) installiert oder aktualisiert hat und ob die Schlüssel für KI-Dienste getauscht wurden. Fünf Minuten: Prüfe in deinen KI-Konten, ob es Schlüssel mit Ausgabenlimit gibt, und sperre alte oder ungenutzte. Wenn ein Dienstleister die Frage nicht beantworten kann, ist das auch eine Antwort.
Der Vorfall war kurz und betrifft vor allem Entwickler, aber er zeigt, wie angreifbar die Lieferkette von KI-Werkzeugen ist. Gesichert ist, dass eine Schadversion zwei Stunden lang verfügbar war, offen ist, ob Daten abflossen.
Für deinen Betrieb gilt: Dienstleister befragen, Schlüssel mit Limit und einzeln sperrbar halten, Versionen nicht blind aktualisieren.
Quellen: LiteLLM, Sicherheitsmeldung vom 21. Oktober 2026 (Stand 20:30 UTC, gelesen am 23. Oktober 2026, sinngemäß aus dem Englischen wiedergegeben). The Hacker News, „LiteLLM compromised in supply chain“ (21. Oktober 2026). Berichte von Socket, Datadog und StepSecurity. Die Beschreibungen des Schadcodes stammen von den Sicherheitsfirmen, die Zeitangaben von LiteLLM, Quellen weichen im Detail ab. Die Hinweise für Betriebe sind unsere Einordnung und keine Anleitung zur technischen Prüfung, diese gibt die Meldung von LiteLLM.
Welches Modell für welche Aufgabe, welche Tools wirklich zählen und wie du richtig promptest — komplett lesbar, kein Download.
Jetzt gratis lesen →Wir gehen mit dir deine KI-Anwendungen und ihre Dienstleister durch, klären Schlüssel, Limits und Ansprechpartner und legen fest, wer dich bei Vorfällen informiert.