LiteLLM v1.100.0、Dockerイメージにcosign署名検証を追加―本番導入前に確認すべき検証手順

2026年9月6日、LiteLLMの新バージョン「v1.100.0」が公式に発表されました。自社インフラでLiteLLMのDockerイメージを本番運用しているエンジニアにとっては、イメージの真正性をコマンドで確認できるようになった点が、導入前のチェック項目として新たに加わったことになります。

v1.100.0で追加されたDockerイメージのcosign署名検証とは

公式発表によると、LiteLLMのすべてのDockerイメージはcosignという仕組みで署名されるようになりました。署名は特定のコミットで導入された鍵で行われており、配布されているイメージが公式にビルドされたものかどうかを利用者側で検証できます。サプライチェーン攻撃対策として、イメージを取得する側が自分で真正性を確かめられる点が今回の変更のポイントです。

実際に検証する2つの方法：コミットハッシュ固定とリリースタグ指定の違い

公式ページでは2種類の検証コマンドが示されています。一つは公開鍵のURLをコミットハッシュで固定して指定する方法で、コミットハッシュは書き換えられないため、最も確実に元の署名鍵であることを確認できるとされています。もう一つはリリースタグ「v1.100.0」を指定する方法で、読みやすい代わりにタグの保護設定に依存する点が説明されています。いずれもcosign verifyコマンドを実行し、署名の検証結果が一致することを確認する手順です。

チームごとのNew Relic追跡ルーティングで何が変わるか

今回のリリースでは、チームごとのコールバック設定を通じてNew Relicへのトレース送信先を振り分けられる機能も追加されました。複数チームでLiteLLMを共用している運用者は、チーム単位で監視データの送り先を分けられるようになります。具体的な設定画面や操作手順は公式ページ本文からは確認できませんでした。

previous_response_id連鎖時の会話履行修正も合わせて確認

あわせて、previous_response_idを使って応答を連鎖させる際に会話履歴が保持されない不具合も修正されています。プランや料金への言及は公式ページ本文には見当たらず、オープンソースのセルフホスト利用が前提となる点は変わらないとみられます。導入前には、上記の検証コマンドを自社のデプロイ手順に組み込むかどうかを検討する材料になりそうです。

出典

公式発表（発表日: 2026年9月6日）

この記事はAIツールギャラリーがLiteLLM（旧Berri）の公式アップデート情報をもとに自動生成しています。

詳しくはLiteLLM（旧Berri）の詳細ページをご覧ください。