L'attaque de 40 minutes qui a exposé plus de 2 500 entreprises : chronologie complète de la brèche de la chaîne d'approvisionnement LiteLLM de mars 2026

TeamPCP a utilisé les identifiants de publication PyPI volés pour pousser ces versions directement sur PyPI, contournant le processus de publication normal basé sur GitHub de LiteLLM . Le groupe a également compressé d'autres activités malveillantes dans cette même fenêtre, notamment la défiguration de 15 dépôts d'organisation, le nettoyage de 182 dépôts personnels, et la mise en public de 70 dépôts privés de BerriAI (la société mère de LiteLLM) .

Comment l'attaque a fonctionné : une compromission en cascade de la chaîne d'approvisionnement

L'attaque est un exemple parfait de compromission en cascade de la chaîne d'approvisionnement. TeamPCP n'a pas attaqué LiteLLM directement. Au lieu de cela, ils ont exploité une chaîne de confiance :

1. Première compromission : Trivy – Le 19 mars, TeamPCP a obtenu l'accès au pipeline GitHub Actions de Trivy en utilisant un identifiant qui avait été tourné mais pas complètement révoqué . Ils ont publié des versions malveillantes de Trivy qui injectaient une charge utile de vol d'identifiants dans tout exécuteur CI/CD qui installait le scanner compromis.
2. Deuxième compromission : LiteLLM – Le propre pipeline CI/CD de LiteLLM installait automatiquement le scanner de vulnérabilités Trivy comme une étape de sécurité. Lorsque le pipeline a été exécuté le 24 mars, il a téléchargé la version empoisonnée de Trivy. La charge utile malveillante à l'intérieur de Trivy a récupéré l'environnement de l'exécuteur CI, extrayant les jetons de publication PyPI et les identifiants GitHub de LiteLLM .
3. Troisième compromission : les utilisateurs de PyPI – Armé des identifiants PyPI de LiteLLM, TeamPCP a poussé des versions malveillantes de LiteLLM sur PyPI. Tout développeur ou organisation qui exécutait

   pip install litellm==1.82.7

   ou 1.82.8 — ou dont le pipeline CI/CD tirait automatiquement la dernière version — voyait son environnement de construction dépouillé de ses secrets.

Comme l'a noté CloudSEK, « l'attaque provenait de la dépendance Trivy utilisée dans le flux de travail de sécurité CI/CD [de LiteLLM] » . Il n'y a pas de CVE pour la compromission de LiteLLM elle-même car rien dans le code propre de LiteLLM n'était vulnérable ; la vulnérabilité résidait dans la relation de confiance entre le pipeline de construction de LiteLLM et son outil de sécurité .

Ampleur de l'exfiltration de données

L'ampleur totale du vol de données n'est devenue claire que cinq mois plus tard, lorsque plusieurs sociétés de renseignement sur les menaces ont publié leurs analyses :

• Hudson Rock a obtenu et analysé indépendamment l'archive d'exfiltration brute des attaquants : un fichier RAR de 153 Go contenant exactement 433 909 fichiers et 118 829 vidages d'exécuteur CI, attribués à 2 488 domaines d'entreprise .
• CloudSEK a reconstruit environ 434 000 fichiers de pipeline CI/CD capturés et a identifié plus de 2 500 organisations potentiellement exposées . CloudSEK a décrit l'incident comme la plus grande attaque de la chaîne d'approvisionnement ciblant les infrastructures d'IA identifiée à ce jour en 2026 .
• Les données compromises comprenaient des identifiants de plateforme cloud (AWS, GCP, Azure), des clés API de fournisseur d'IA (OpenAI, Anthropic, Cohere, etc.), des clés privées SSH, des jetons de compte de service Kubernetes, des identifiants de registre Docker, des fichiers .env, des chaînes de connexion de base de données, des secrets de signature Slack, des secrets client Salesforce et des identifiants Git .

Le FBI a émis une alerte le 2 juillet 2026 (FLASH-20260702-01) avertissant que des acteurs affiliés sont susceptibles d'utiliser les identifiants exfiltrés lors de la campagne TeamPCP longtemps après la compromission initiale. Il a demandé aux organisations de faire tourner les secrets CI/CD, les jetons de publication et les identifiants cloud accessibles pendant les fenêtres d'exposition concernées .

Organisations touchées

Les domaines exposés comprenaient de grandes entreprises des secteurs de la technologie, de la finance, de l'industrie et des télécommunications. Les organisations nommées confirmées par plusieurs sources incluent :

• Technologie : Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (anciennement Twitter), Zscaler, Roku, Epic Games
• Industriel : Volkswagen, Siemens, FedEx
• Finance : S&P Global, Deloitte
• Télécoms : BT Group, Vodafone

L'ensemble de données de CloudSEK contenait des « correspondances de haute confiance » liées à des domaines d'entreprise, des dépôts, des identifiants ou des infrastructures appartenant à ces organisations . Hudson Rock a noté que l'archive contenait des identifiants « toujours valides » pour nombre de ces organisations des mois après l'incident .

Tests post-incident de Kevin Beaumont

Cinq mois après la brèche, le chercheur indépendant en sécurité Kevin Beaumont a effectué une vérification cruciale de la réalité. Après le rapport d'Ars Technica sur la brèche, Beaumont a testé des identifiants compromis provenant d'une grande entreprise technologique américaine qui avait publiquement déclaré avoir « tout fait tourner ». En utilisant une politique de divulgation responsable, il a testé les identifiants et a constaté qu'« presque chacun d'entre eux fonctionnait » — ce qui signifie que l'organisation n'avait pas réellement fait tourner ses secrets compromis malgré ses affirmations .

Cette constatation souligne une leçon cruciale : les déclarations sur la rotation des identifiants et la rotation réelle des identifiants sont souvent deux choses différentes, et les identifiants volés lors de cette attaque restent une menace active.

Recommandation urgente

Considérez tous les secrets, clés API, identifiants cloud, clés SSH, configurations Kubernetes et toute autre donnée sensible qui étaient accessibles aux versions 1.82.7 ou 1.82.8 de LiteLLM comme entièrement compromis. La rotation immédiate de chaque identifiant qui aurait pu être exposé pendant la fenêtre du 24 mars 2026 est essentielle — indépendamment du fait qu'une organisation pense les avoir déjà tournés .

L'attaque est considérée comme la plus grande brèche de la chaîne d'approvisionnement en infrastructures d'IA de 2026, et les données volées restent une menace persistante pour des intrusions de suivi, comme l'ont démontré les tests d'identifiants de Beaumont . Le FBI a averti qu'un ciblage de suivi est probable, et le trésor d'identifiants valides dans l'archive de 153 Go est un cadeau qui continue de donner pour les acteurs malveillants.

Si votre organisation a utilisé LiteLLM de quelque manière que ce soit le 24 mars 2026, supposez une compromission. Vérifiez la présence du fichier .pth malveillant (litellm_init.pth) et de la porte dérobée de persistance (~/.config/sysmon/sysmon.py), vérifiez la version installée avec

pip show litellm