Attaque massive sur la chaîne d'approvisionnement de LiteLLM : le scénario complet

Voici le récit complet et la chronologie de l’attaque de la chaîne d’approvisionnement LiteLLM, reconstitués à partir des rapports officiels, des analyses de renseignement sur les menaces et des enquêtes indépendantes.

Chronologie de l’attaque

• 19 mars 2026 – TeamPCP compromet Trivy, un scanner de vulnérabilités open-source largement adopté, en injectant du code malveillant dans une dépendance de Trivy .
• 24 mars 2026, ~10h39 UTC – La version 1.82.7 de LiteLLM est publiée sur PyPI à partir d’un pipeline de build qui faisait aveuglément confiance au scanner Trivy désormais empoisonné lors de l’étape de sécurité CI/CD .
• 24 mars 2026, ~10h39–11h19 UTC – La version 1.82.8 est également poussée. Les paquets malveillants contenaient du code voleur de credentials, exfiltrant vers le serveur distant de TeamPCP les clés cloud, les clés SSH, les configurations Kubernetes, les identifiants de bases de données, les clés API et d’autres secrets .
• 24 mars 2026, ~11h19 UTC – PyPI met en quarantaine le projet LiteLLM (~40 minutes après la première publication), mais l’équipe LiteLLM conseille de considérer toute installation effectuée jusqu’à 16h00 UTC ce jour-là comme suspecte . Les paquets ont été téléchargés plus de 119 000 fois durant cette fenêtre d’environ 2 heures et demie .

Comment l’attaque a fonctionné

TeamPCP a exploité une compromission en cascade de la chaîne d’approvisionnement : ils ont d’abord empoisonné Trivy, puis le pipeline CI/CD de LiteLLM – qui utilisait la dépendance Trivy compromise dans son propre scan de sécurité – a été infecté pendant le processus de build, procurant aux attaquants les identifiants de publication de LiteLLM sur PyPI . Cela a permis à TeamPCP de publier des versions malveillantes directement sur PyPI, court-circuitant le processus de publication normal de LiteLLM basé sur GitHub . Une analyse a noté que l’attaque « provenait de la dépendance Trivy utilisée dans le workflow de scan de sécurité CI/CD de [LiteLLM] » .

L’ampleur de l’exfiltration de données

• Hudson Rock a obtenu et analysé de manière indépendante l’archive brute des attaquants : 153 Go contenant 433 909 fichiers et 118 829 dumps d’exécuteurs CI, attribués à 2 488 domaines d’entreprise .
• CloudSEK a reconstitué environ 434 000 fichiers de pipeline CI/CD capturés et identifié plus de 2 500 organisations potentiellement exposées .
• Le FBI a émis une alerte flash (FLASH-20260702-01) le 2 juillet 2026, mettant en garde contre des ciblages ultérieurs affiliés .

Organisations touchées

Les domaines exposés incluaient de grandes entreprises des secteurs de la technologie, de la finance, de l’industrie et des télécommunications. Parmi les noms confirmés par plusieurs sources figurent Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens et BT Group . Hudson Rock a noté que l’archive contenait des identifiants « toujours valides » pour plusieurs de ces organisations, des mois après l’incident .

Le test post-incident de Kevin Beaumont

Après le rapport d’Ars Technica sur la brèche, Kevin Beaumont a indépendamment testé des credentials compromis provenant d’une grande entreprise technologique américaine qui affirmait avoir « tout fait tourner ». En suivant une politique de divulgation responsable, il a testé les identifiants et a constaté que « presque tous fonctionnaient » – ce qui signifie que l’organisation n’avait pas réellement fait tourner ses secrets compromis malgré ses affirmations .

Recommandation urgente

Considérez tous les secrets, clés API, identifiants cloud, clés SSH, configurations Kubernetes et toute autre donnée sensible qui étaient accessibles aux versions 1.82.7 ou 1.82.8 de LiteLLM comme entièrement compromis. La rotation immédiate de chaque identifiant qui a pu être exposé durant la fenêtre du 24 mars 2026 est essentielle – indépendamment du fait qu’une organisation pense les avoir déjà fait tourner . Cette attaque est considérée comme la plus grande brèche de la chaîne d’approvisionnement en infrastructure IA de l’année 2026, et les données volées restent une menace persistante pour des intrusions ultérieures, comme l’a démontré le test de credentials de Beaumont .