Rabu malam, 21 Oktober 2026, pukul 18.39 WIB, sebuah versi baru bernama litellm 1.107.0 muncul di PyPI, gudang paket yang dipakai developer Python di seluruh dunia. Tampilannya seperti rilis biasa. Isinya malware pencuri kredensial. Sekitar dua jam kemudian rilis itu dicabut, tapi server yang sempat memasangnya tidak otomatis bersih.

Kalau Anda pemilik toko atau kafe, nama LiteLLM kemungkinan besar belum pernah Anda dengar. Wajar. Artikel ini tetap untuk Anda, karena yang penting bukan nama paketnya, melainkan jalurnya: paket pihak ketiga, dipasang vendor, di server yang menyimpan kunci usaha Anda.

Apa yang terjadi malam itu

LiteLLM adalah pustaka open source yang memberi aplikasi satu pintu untuk memanggil lebih dari 100 model AI, termasuk dari OpenAI dan Anthropic. Aplikasi dengan fitur AI, misalnya chatbot yang membalas pesanan atau rekap penjualan otomatis, bisa saja memakainya. BleepingComputer mencatat sekitar 92 juta unduhan per bulan di PyPI.

Urutannya: tujuh paket 1.107.0 naik ke PyPI pukul 18.39 WIB, image Docker (paket jadi yang langsung dijalankan server) menyusul pukul 18.46 WIB. PyPI mencabut rilis itu sekitar pukul 20.20 WIB dan image Docker dibersihkan pukul 21.20 WIB. Waktu pencabutan di PyPI berbeda tiga menit antara catatan LiteLLM dan Datadog, jadi kami tulis "sekitar". Semua jam WIB di sini adalah jam UTC ditambah tujuh.

Linimasa 21 Oktober 2026: rilis litellm 1.107.0 terbit di PyPI pukul 18:39 WIB, image Docker 18:46 WIB, PyPI mencabut rilis sekitar 20:20 WIB, image Docker bersih 21:20 WIB

Menurut LiteLLM, penyusup memegang kredensial GitHub milik tiga developer mereka, lalu menjalankan proses rilis resmi terhadap repositori tiruan bernama Berri-AI/litellm. Bedanya dengan yang asli, BerriAI/litellm, hanya satu tanda hubung. Kode di GitHub resmi tetap bersih. Yang beracun adalah paket jadinya. Bagaimana kredensial itu dicuri, LiteLLM sendiri mengaku sebagian belum terkonfirmasi. Ini juga bukan yang pertama: pada Maret 2026, versi 1.82.7 dan 1.82.8 dari proyek yang sama sudah pernah disusupi. Sumber yang kami baca belum menyimpulkan kedua kejadian itu berhubungan.

Kenapa ini urusan kafe Anda

Kami tidak punya data berapa usaha di Indonesia yang terkena, dan kami tidak mengklaim ada. Tapi cara kerja serangannya tidak peduli ukuran usaha. Python membaca file startup tertentu setiap kali menyala, dan malware ini menumpang di situ. Artinya ia jalan di setiap proses Python di server itu, bahkan kalau LiteLLM sendiri tidak pernah dipanggil.

Empat lapis rantai yang Anda andalkan: usaha Anda, aplikasi buatan vendor, tool AI pihak ketiga, dan kunci serta akses di server yang dicari malware

Menurut Datadog dan BleepingComputer, yang dicari adalah kunci cloud, file .env, kunci SSH, token Git, kredensial layanan AI, serta kata sandi dan cookie browser. Semuanya dikirim terenkripsi ke domain tiruan litellm[.]dev. Sebagai gambaran, dan ini ilustrasi kami, bukan temuan kasus: server yang menjalankan chatbot pesanan biasanya menyimpan lebih dari kunci AI. Ada akses ke database pesanan, kunci payment gateway, dan akun email notifikasi, sering semuanya di satu file .env.

Konsekuensinya yang paling sering terlewat: mencabut paket tidak mengembalikan apa pun. Datadog menulis bahwa menghapus folder litellm tidak menghilangkan malware, karena tiga file yang ditinggalkannya harus dibuang manual, dan menjalankan pip di server itu malah memicunya lagi. Rahasia yang sudah terkirim harus dianggap bocor, dan satu-satunya jalan adalah menggantinya.

Lima langkah sebab akibat dari akun developer yang dibobol sampai rahasia usaha dikirim keluar dari server

Pertanyaan yang jarang diajukan

Memakai tool pihak ketiga itu wajar, hampir semua software modern begitu. Yang tidak wajar adalah vendor tidak sanggup menjawab dalam satu hari: tool apa saja di sistem Anda, versi berapa, kunci apa yang tersimpan di server, dan atas nama siapa akunnya. Proyek yang sama kena dua kali dalam tujuh bulan. Pendapat kami, vendor yang tidak punya daftar itu hari ini akan kelabakan di insiden berikutnya, dan yang menanggung akibatnya adalah pemilik usaha.

Daftar cek untuk minggu ini

Kirim satu pesan ke vendor atau agency Anda, minta jawaban tertulis untuk tujuh hal ini:

  1. Apakah ada LiteLLM di sistem saya, dan versi berapa? Tanya langsung, jangan menunggu mereka menyebutnya.
  2. Pernah menarik versi 1.107.0? Jendelanya antara 18.39 dan 21.20 WIB pada 21 Oktober 2026.
  3. Kunci apa saja yang tersimpan di server? Minta daftar tertulis: AI, pembayaran, database, email, cloud.
  4. Akun cloud dan pembayaran atas nama siapa? Harus atas nama usaha, bukan pribadi developer.
  5. Apakah versi paket dikunci? Yang paling mudah kena adalah yang menarik "versi terbaru" otomatis, bukan yang menetapkan versi.
  6. Ada batas biaya dan alarm pemakaian? Pasang di kunci AI dan cloud supaya pemakaian aneh cepat ketahuan.
  7. Kalau ada insiden, siapa mengabari siapa, dan dalam berapa jam?
Delapan kartu daftar cek: tujuh pertanyaan untuk vendor dan satu kartu inti, ganti kunci bukan cuma hapus paket

Kalau jawaban untuk nomor 2 adalah "pernah", ikuti panduan LiteLLM: kunci versi ke 1.106.2, versi yang mereka sebut aman sebelum kejadian, bangun ulang server dari awal, lalu ganti semua rahasia yang bisa dibaca server itu dari mesin yang bersih. Mulai dari kunci pembayaran dan cloud, baru kunci AI dan email. Setelah itu minta vendor memeriksa log akun cloud untuk pemakaian dari luar infrastruktur Anda.

Kalau Anda ingin ada yang ikut membaca jawaban vendor, atau memeriksa apa saja yang tersimpan di server aplikasi Anda, chat kami lewat WhatsApp di +62 823 1499 5005. XETUP membangun dan merawat sistem untuk usaha, jadi pertanyaan seperti ini memang pekerjaan sehari-hari kami. Bawa saja jawaban vendor Anda, kita baca bersama.

Sumber: catatan insiden LiteLLM, BleepingComputer, Datadog Security Labs.