월 9천200만회 내려받는 '라이트LLM' 또 뚫렸다…"임포트 안 해도 키 빼 간다"

여러 AI 모델을 한 코드로 부르게 해 주는 파이썬 패키지 라이트LLM(LiteLLM)에 클라우드 자격 증명을 훔치는 악성코드가 심겼다는 경고가 나왔다.

21일(현지시간) 공급망 보안업체 소켓에 따르면 라이트LLM 1.107.0 버전은 파이썬 패키지 저장소(PyPI) 휠 파일과 도커 이미지로 악성코드를 퍼뜨렸다. 노린 것은 클라우드 자격 증명, 개발자 비밀 키, AI 도구 정보다. 소켓은 "악성코드는 라이트LLM을 임포트하지 않아도 파이썬이 시작될 때 실행된다"며 배포 작업이 이름이 비슷한 가짜 저장소에서 컨테이너 이미지를 만들었다고 설명했다. 소켓은 악성 휠 7개를 올라온 지 7분 안에 모두 잡아냈다고 밝혔다.

라이트LLM은 월 9천200만회 넘게 내려받는 패키지다. 소켓의 경고 글은 X에서 '좋아요' 1천500개를 넘겼고 "또?"라는 답글이 줄을 이었다. 일본의 한 개발자는 지난 3월에 이어 두 번째라고 지적했다.

같은 날 PHP 결함 소식까지 겹치면서 에릭 파커의 PHP 영상에는 "24시간만이라도 조용히 지나갈 수 없나"라는 댓글('좋아요' 158개)이 달렸다.