El mayor ciberataque a infraestructura de IA en 2026: cronología y alcance del ataque a LiteLLM

Aquí tienes el alcance completo y la cronología del ataque a la cadena de suministro de LiteLLM de marzo de 2026, elaborado a partir de divulgaciones oficiales, informes de inteligencia de amenazas y análisis independientes.

Cronología del ataque

• 19 de marzo de 2026 – TeamPCP compromete por primera vez Trivy, el popular escáner de vulnerabilidades de código abierto de Aqua Security, inyectando código malicioso en una dependencia de Trivy .
• 24 de marzo de 2026, ~10:39 UTC – Se publica la versión 1.82.7 de LiteLLM en PyPI desde un pipeline de compilación que confiaba ciegamente en el escáner Trivy ahora envenenado durante el escaneo de seguridad CI/CD .
• 24 de marzo de 2026, ~10:39–11:19 UTC – También se publica la versión 1.82.8. Los paquetes maliciosos contenían código robador de credenciales que exfiltraba credenciales cloud, claves SSH, configuraciones de Kubernetes, credenciales de bases de datos, claves API y otros secretos al servidor remoto de TeamPCP .
• 24 de marzo de 2026, ~11:19 UTC – PyPI pone en cuarentena el proyecto LiteLLM (unos 40 minutos después de la primera publicación), pero el equipo de LiteLLM aconsejó tratar como sospechosa cualquier instalación hasta las 16:00 UTC de ese día . Los paquetes se descargaron más de 119.000 veces durante la ventana de aproximadamente 2,5 horas .

Cómo funcionó el ataque

TeamPCP explotó un compromiso en cascada de la cadena de suministro: primero envenenaron Trivy, y luego el pipeline CI/CD de LiteLLM —que usaba la dependencia comprometida de Trivy en su propio escaneo de seguridad de compilación— se infectó durante el proceso de build, entregando a los atacantes las credenciales de publicación de PyPI . Esto permitió a TeamPCP publicar versiones maliciosas directamente en PyPI, saltándose el proceso normal de publicación basado en GitHub de LiteLLM .

Escala de la exfiltración de datos

• Hudson Rock obtuvo y analizó de forma independiente el archivo raw de los atacantes: 153 GB que contienen 433.909 archivos y 118.829 dumps de runners CI, atribuidos a 2.488 dominios corporativos .
• CloudSEK reconstruyó aproximadamente 434.000 archivos de pipelines CI/CD capturados e identificó más de 2.500 organizaciones potencialmente expuestas .
• El FBI emitió un aviso flash (FLASH-20260702-01) el 2 de julio de 2026, advirtiendo sobre ataques de seguimiento afiliados .

Organizaciones afectadas

Los dominios expuestos incluían grandes empresas de los sectores tecnológico, financiero, industrial y de telecomunicaciones. Entre las organizaciones confirmadas por múltiples fuentes se encuentran Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens y BT Group . Hudson Rock señaló que el archivo contenía credenciales "aún válidas" para muchas de estas organizaciones meses después del incidente .

Pruebas posteriores de Kevin Beaumont

Tras el informe de Ars Technica sobre la brecha, Kevin Beaumont probó de forma independiente credenciales comprometidas de una gran empresa tecnológica estadounidense que afirmaba haber "rotado todo". Utilizando una política de divulgación responsable, probó las credenciales y descubrió que "casi todas funcionaban" —lo que significa que la organización en realidad no había rotado sus secretos comprometidos a pesar de afirmarlo .

Recomendación urgente

Trata todos los secretos, claves API, credenciales cloud, claves SSH, configuraciones de Kubernetes y cualquier otro dato sensible que haya sido accesible para las versiones 1.82.7 o 1.82.8 de LiteLLM como completamente comprometidos. La rotación inmediata de cada credencial que pudiera haber estado expuesta durante la ventana del 24 de marzo de 2026 es esencial —independientemente de si la organización cree que ya las rotó . Este ataque se considera la mayor brecha de seguridad en la cadena de suministro de infraestructura de IA de 2026, y los datos robados siguen siendo una amenaza persistente para intrusiones posteriores, como demostraron las pruebas de credenciales de Beaumont .