LiteLLMのDockerイメージがcosign署名検証に対応、自前運用者が今すぐ確認すべき手順

公式発表（2026年11月4日）によると、LiteLLMのバージョンv1.109.0-rc.1で、Dockerイメージにcosignによる署名検証機能が追加されました。自前でDockerイメージをビルド・運用しているプラットフォームエンジニアにとっては、本番デプロイ前にイメージの真正性を確認する新しいチェック項目が増えたことになります。

LiteLLMのDockerイメージ署名検証とは何が変わったのか

公式ページによると、すべてのLiteLLMのDockerイメージはcosignという署名ツールで署名されるようになりました。今回のv1.109.0-rc.1は、GitHub上のコミット「e82a3c6」で導入された鍵を使って署名されています。これにより、配布されているイメージが公式ビルドそのものであり、改ざんやなりすましがないかを運用者側で確認できるようになりました。

cosignでの検証手順:コミットハッシュ指定とタグ指定の違い

公式ページには2通りの検証コマンドが示されています。ひとつはコミットハッシュを指定して公開鍵を参照する方法で、コミットハッシュは書き換えられないため最も確実とされています。もうひとつはリリースタグを指定する方法で、同じ鍵に解決されますが、タグ保護の設定に依存するため「簡便な方法」と位置づけられています。いずれもcosign verifyコマンドでghcr.io/berriai/litellm:v1.109.0-rc.1を検証し、成功すれば署名の照合が完了した旨の出力が表示されます。

検証をCI/CDパイプラインにどう組み込むか

公式ページでは具体的なCI/CD組み込み手順までは示されていません。示されているのはコマンド例と期待される出力のみで、デプロイフローへの組み込み方法は運用者の判断に委ねられています。既存のデプロイ手順にこの検証コマンドをどのタイミングで挟むかは、各チームで検討する必要がありそうです。

あわせて修正されたエラー表示・PDF価格計算の扱いに注意

今回のリリースでは署名検証機能のほかに、プロキシサーバーのエラー表示で「None」という文字列がそのまま表示されていた問題や、OpenAIおよびAzureのモデルでPDFページを扱った際の料金計算の修正も行われています。利用プランや料金体系そのものに関する記載は公式ページには見当たらず、無料のオープンソース利用に影響する条件変更は確認できません。

出典

公式発表（発表日: 2026年11月4日）

この記事はAIツールギャラリーがLiteLLM（旧Berri）の公式アップデート情報をもとに自動生成しています。

詳しくはLiteLLM（旧Berri）の詳細ページをご覧ください。