Skupina TeamPCP 19. března 2026 prolomila Aqua Security Trivy, populární open source skener zranitelností, a vložila do něj škodlivý kód [12][14].
24. března 2026 v 10:39 UTC LiteLLM nevědomky publikoval na PyPI verze 1.82.7 a 1.82.8, které vznikly v sestavovacím pipeline, jenž důvěřoval infikovanému Trivy [1][2][6].
Škodlivé balíčky kradly cloudové přihlašovací údaje, SSH klíče, Kubernetes konfigurace, databázová hesla a API klíče a posílaly je na server útočníků [2][3][6].
PyPI balíčky zablokoval přibližně po 40 minutách, ale LiteLLM varuje, že jakákoli instalace do 16:00 UTC toho dne může být považována za kompromitovanou [2][5].
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaAI-generated editorial hero image for What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post mortem findings Here is the full scope and timeline of the March 2026 LiteLLM supply chain at. Topic tags: general web, ai, automation, workflow, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts
openai.com
Úvod
Březnový útok na dodavatelský řetězec LiteLLM z roku 2026 je považován za největší bezpečnostní incident zaměřený na AI infrastrukturu v tomto roce. Skupina TeamPCP (trackovaná také jako UNC6780) využila kaskádového kompromitování: nejprve napadla open-source skener zranitelností Trivy od společnosti Aqua Security, a poté prostřednictvím něj infiltrovala sestavovací prostředí LiteLLM . Následně do oficiálního repozitáře (Python Package Index) propašovala škodlivé verze knihovny LiteLLM, které při instalaci kradly citlivé údaje z CI/CD pipeline tisíců organizací po celém světě.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Útok na LiteLLM: Jak hackerům stačilo 40 minut k odcizení tajemství tisíců firem"?
Skupina TeamPCP 19. března 2026 prolomila Aqua Security Trivy, populární open source skener zranitelností, a vložila do něj škodlivý kód [12][14].
What are the key points to validate first?
Skupina TeamPCP 19. března 2026 prolomila Aqua Security Trivy, populární open source skener zranitelností, a vložila do něj škodlivý kód [12][14]. 24. března 2026 v 10:39 UTC LiteLLM nevědomky publikoval na PyPI verze 1.82.7 a 1.82.8, které vznikly v sestavovacím pipeline, jenž důvěřoval infikovanému Trivy [1][2][6].
What should I do next in practice?
Škodlivé balíčky kradly cloudové přihlašovací údaje, SSH klíče, Kubernetes konfigurace, databázová hesla a API klíče a posílaly je na server útočníků [2][3][6].
Skupina TeamPCP 19. března 2026 prolomila Aqua Security Trivy, populární open source skener zranitelností, a vložila do něj škodlivý kód [12][14].
24. března 2026 v 10:39 UTC LiteLLM nevědomky publikoval na PyPI verze 1.82.7 a 1.82.8, které vznikly v sestavovacím pipeline, jenž důvěřoval infikovanému Trivy [1][2][6].
Škodlivé balíčky kradly cloudové přihlašovací údaje, SSH klíče, Kubernetes konfigurace, databázová hesla a API klíče a posílaly je na server útočníků [2][3][6].
PyPI balíčky zablokoval přibližně po 40 minutách, ale LiteLLM varuje, že jakákoli instalace do 16:00 UTC toho dne může být považována za kompromitovanou [2][5].
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaAI-generated editorial hero image for What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post mortem findings Here is the full scope and timeline of the March 2026 LiteLLM supply chain at. Topic tags: general web, ai, automation, workflow, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts
openai.com
Úvod
Březnový útok na dodavatelský řetězec LiteLLM z roku 2026 je považován za největší bezpečnostní incident zaměřený na AI infrastrukturu v tomto roce. Skupina TeamPCP (trackovaná také jako UNC6780) využila kaskádového kompromitování: nejprve napadla open-source skener zranitelností Trivy od společnosti Aqua Security, a poté prostřednictvím něj infiltrovala sestavovací prostředí LiteLLM . Následně do oficiálního repozitáře (Python Package Index) propašovala škodlivé verze knihovny LiteLLM, které při instalaci kradly citlivé údaje z CI/CD pipeline tisíců organizací po celém světě.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Útok na LiteLLM: Jak hackerům stačilo 40 minut k odcizení tajemství tisíců firem"?
Skupina TeamPCP 19. března 2026 prolomila Aqua Security Trivy, populární open source skener zranitelností, a vložila do něj škodlivý kód [12][14].
What are the key points to validate first?
Skupina TeamPCP 19. března 2026 prolomila Aqua Security Trivy, populární open source skener zranitelností, a vložila do něj škodlivý kód [12][14]. 24. března 2026 v 10:39 UTC LiteLLM nevědomky publikoval na PyPI verze 1.82.7 a 1.82.8, které vznikly v sestavovacím pipeline, jenž důvěřoval infikovanému Trivy [1][2][6].
What should I do next in practice?
Škodlivé balíčky kradly cloudové přihlašovací údaje, SSH klíče, Kubernetes konfigurace, databázová hesla a API klíče a posílaly je na server útočníků [2][3][6].
19. března 2026 – TeamPCP prolomila Aqua Security Trivy. Útočníci zneužili nedokončenou rotaci přístupových údajů a vnutíli škodlivé commity do 76 ze 77 verzí trivy-action a do všech sedmi verzí setup-trivy. Tím získali kontrolu nad nástrojem, který je masivně používán v CI/CD pipelinech po celém světě.
24. března 2026, ~10:39 UTC – Verze 1.82.7 LiteLLM byla publikována na PyPI. Sestavovací pipeline LiteLLM během bezpečnostního skenování slepě důvěřoval otrávenému skeneru Trivy, který útočníkům poskytl přístup k přihlašovacím údajům pro publikaci na PyPI .
24. března 2026, ~10:39–11:19 UTC – Následně byla vydána i verze 1.82.8. Obě obsahovaly kód, který během instalace sbíral cloudové přihlašovací údaje (např. k AWS), SSH klíče, Kubernetes konfigurace, databázová hesla, API klíče a další tajemství z prostředí, kde byly spuštěny. Všechna data byla odeslána na vzdálený server pod kontrolou TeamPCP .
24. března 2026, ~11:19 UTC – PyPI projekt LiteLLM zablokoval, přibližně 40 minut po prvním publikování. Během té doby si však balíčky stáhlo více než 119 000 uživatelů. LiteLLM tým doporučil považovat jakoukoli instalaci až do 16:00 UTC toho dne za potenciálně kompromitovanou .
Mechanismus útoku
Tým LiteLLM uvedl, že „incident vznikl z kompromitované závislosti Trivy použité v našem CI/CD bezpečnostním skenování“ . Útočníci nejprve prolomili Trivy, který je stahován a spouštěn v průběhu sestavování. Protože LiteLLM (stejně jako tisíce dalších projektů) Trivy během sestavování automaticky instaloval, získali útočníci přístup ke všem tajemstvím, která byla v daném sestavovacím prostředí k dispozici. To zahrnovalo i PyPI tokeny, které LiteLLM používal k publikování nových verzí na PyPI. Následně TeamPCP tyto tokeny zneužila k publikování vlastních, škodlivých verzí LiteLLM .
Rozsah úniku dat
Dva nezávislé bezpečnostní týmy – Hudson Rock a CloudSEK – získaly a analyzovaly data, která útočníci ukradli.
Hudson Rock uvádí, že se jim podařilo získat archiv o velikosti 153 GB obsahující 433 909 souborů a 118 829 dumpů z CI/CD runnerů (záznamy ze systémů, které automaticky sestavují a testují software). Tato data byla přiřazena k 2 488 firemním doménám.
CloudSEK rekonstruoval přibližně 434 000 souborů z CI/CD pipeline a identifikoval více než 2 500 potenciálně ohrožených organizací.
Hudson Rock dále poznamenal, že archiv obsahoval přihlašovací údaje, které byly i několik měsíců po incidentu stále platné.
Postižené organizace
Zdroje jmenují desítky světových společností napříč technologickým, finančním, průmyslovým a telekomunikačním sektorem. Mezi potvrzené patří: Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens, BT Group, Vodafone, X Corp, Zscaler, Epic Games a mnoho dalších.
Nezávislé testování Kevinem Beaumontem
Bezpečnostní expert Kevin Beaumont se po zveřejnění zprávy na serveru Ars Technica rozhodl nezávisle otestovat, zda postižené firmy skutečně rotovaly své kompromitované přihlašovací údaje. V rámci zodpovědného zveřejnění (responsible disclosure) otestoval přihlašovací údaje jedné velké americké technologické společnosti, která tvrdila, že „všechno rotovala“. Výsledek byl alarmující: téměř každý z testovaných přihlašovacích údajů stále fungoval.
Reakce FBI
Americký Federální úřad pro vyšetřování (FBI) vydal 2. července 2026 varovné hlášení FLASH-20260702-01, v němž varoval před tím, že přidružení aktéři pravděpodobně zneužijí ukradené přihlašovací údaje k následným útokům i dlouho po prvotním kompromitování .
Naléhavé doporučení
Veškeré tajné údaje, API klíče, cloudové přihlašovací údaje, SSH klíče, Kubernetes konfigurace a další citlivá data, ke kterým měly přístup verze LiteLLM 1.82.7 nebo 1.82.8, považujte za plně kompromitované. Ihned rotujte (obměňte) každý přihlašovací údaj, který mohl být vystaven během okna 24. března 2026 – a to bez ohledu na to, zda organizace věří, že už je rotovala . Jak ukázal test Kevina Beaumonta, spoléhat se na tvrzení o rotaci může být fatálně chybné. Útok je považován za největší narušení dodavatelského řetězce AI infrastruktury v roce 2026 a ukradená data představují trvalé riziko pro následné průniky .
19. března 2026 – TeamPCP prolomila Aqua Security Trivy. Útočníci zneužili nedokončenou rotaci přístupových údajů a vnutíli škodlivé commity do 76 ze 77 verzí trivy-action a do všech sedmi verzí setup-trivy. Tím získali kontrolu nad nástrojem, který je masivně používán v CI/CD pipelinech po celém světě.
24. března 2026, ~10:39 UTC – Verze 1.82.7 LiteLLM byla publikována na PyPI. Sestavovací pipeline LiteLLM během bezpečnostního skenování slepě důvěřoval otrávenému skeneru Trivy, který útočníkům poskytl přístup k přihlašovacím údajům pro publikaci na PyPI .
24. března 2026, ~10:39–11:19 UTC – Následně byla vydána i verze 1.82.8. Obě obsahovaly kód, který během instalace sbíral cloudové přihlašovací údaje (např. k AWS), SSH klíče, Kubernetes konfigurace, databázová hesla, API klíče a další tajemství z prostředí, kde byly spuštěny. Všechna data byla odeslána na vzdálený server pod kontrolou TeamPCP .
24. března 2026, ~11:19 UTC – PyPI projekt LiteLLM zablokoval, přibližně 40 minut po prvním publikování. Během té doby si však balíčky stáhlo více než 119 000 uživatelů. LiteLLM tým doporučil považovat jakoukoli instalaci až do 16:00 UTC toho dne za potenciálně kompromitovanou .
Mechanismus útoku
Tým LiteLLM uvedl, že „incident vznikl z kompromitované závislosti Trivy použité v našem CI/CD bezpečnostním skenování“ . Útočníci nejprve prolomili Trivy, který je stahován a spouštěn v průběhu sestavování. Protože LiteLLM (stejně jako tisíce dalších projektů) Trivy během sestavování automaticky instaloval, získali útočníci přístup ke všem tajemstvím, která byla v daném sestavovacím prostředí k dispozici. To zahrnovalo i PyPI tokeny, které LiteLLM používal k publikování nových verzí na PyPI. Následně TeamPCP tyto tokeny zneužila k publikování vlastních, škodlivých verzí LiteLLM .
Rozsah úniku dat
Dva nezávislé bezpečnostní týmy – Hudson Rock a CloudSEK – získaly a analyzovaly data, která útočníci ukradli.
Hudson Rock uvádí, že se jim podařilo získat archiv o velikosti 153 GB obsahující 433 909 souborů a 118 829 dumpů z CI/CD runnerů (záznamy ze systémů, které automaticky sestavují a testují software). Tato data byla přiřazena k 2 488 firemním doménám.
CloudSEK rekonstruoval přibližně 434 000 souborů z CI/CD pipeline a identifikoval více než 2 500 potenciálně ohrožených organizací.
Hudson Rock dále poznamenal, že archiv obsahoval přihlašovací údaje, které byly i několik měsíců po incidentu stále platné.
Postižené organizace
Zdroje jmenují desítky světových společností napříč technologickým, finančním, průmyslovým a telekomunikačním sektorem. Mezi potvrzené patří: Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens, BT Group, Vodafone, X Corp, Zscaler, Epic Games a mnoho dalších.
Nezávislé testování Kevinem Beaumontem
Bezpečnostní expert Kevin Beaumont se po zveřejnění zprávy na serveru Ars Technica rozhodl nezávisle otestovat, zda postižené firmy skutečně rotovaly své kompromitované přihlašovací údaje. V rámci zodpovědného zveřejnění (responsible disclosure) otestoval přihlašovací údaje jedné velké americké technologické společnosti, která tvrdila, že „všechno rotovala“. Výsledek byl alarmující: téměř každý z testovaných přihlašovacích údajů stále fungoval.
Reakce FBI
Americký Federální úřad pro vyšetřování (FBI) vydal 2. července 2026 varovné hlášení FLASH-20260702-01, v němž varoval před tím, že přidružení aktéři pravděpodobně zneužijí ukradené přihlašovací údaje k následným útokům i dlouho po prvotním kompromitování .
Naléhavé doporučení
Veškeré tajné údaje, API klíče, cloudové přihlašovací údaje, SSH klíče, Kubernetes konfigurace a další citlivá data, ke kterým měly přístup verze LiteLLM 1.82.7 nebo 1.82.8, považujte za plně kompromitované. Ihned rotujte (obměňte) každý přihlašovací údaj, který mohl být vystaven během okna 24. března 2026 – a to bez ohledu na to, zda organizace věří, že už je rotovala . Jak ukázal test Kevina Beaumonta, spoléhat se na tvrzení o rotaci může být fatálně chybné. Útok je považován za největší narušení dodavatelského řetězce AI infrastruktury v roce 2026 a ukradená data představují trvalé riziko pro následné průniky .
infostealers.comLargest AI Supply Chain Breach of 2026: LiteLLM Hack Impacts Thousands of Global Enterprises - Claim Your Ethical Disclosure
plainsec.comLiteLLM Breach Grew Into CI Secret Spill · PlainSec
recatools.comLiteLLM Supply Chain Attack: 434,000 Pipelines, 2,500 Organisations
labs.cloudsecurityalliance.orgTeamPCP’s LiteLLM Backdoor: New Data Shows 2,100+ Orgs Exposed