Attacco informatico a LiteLLM: portata e cronologia della violazione della supply chain AI più grande del 2026
Il 19 marzo 2026, il gruppo TeamPCP ha compromesso il vulnerabilità scanner Trivy di Aqua Security, iniettando codice malevolo in una sua dipendenza [12][14]. Il 24 marzo 2026, alle 10:39 UTC, LiteLLM ha pubblicato su PyPI le versioni 1.82.7 e 1.82.8, contenenti codice per rubare credenziali cloud, SSH, Kubernetes e...
Il 19 marzo 2026, il gruppo TeamPCP ha compromesso il vulnerabilità scanner Trivy di Aqua Security, iniettando codice malevolo in una sua dipendenza [12][14].
Il 24 marzo 2026, alle 10:39 UTC, LiteLLM ha pubblicato su PyPI le versioni 1.82.7 e 1.82.8, contenenti codice per rubare credenziali cloud, SSH, Kubernetes e altri segreti [1][2][6].
Le versioni infette sono state scaricate oltre 119.000 volte nei circa 40 minuti prima che PyPI le mettesse in quarantena [4][5].
L'attacco ha esposto 153 GB di dati, tra cui 433.909 file e 118.829 dump di runner CI, riconducibili a 2.488 domini aziendali [2][12][13].
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaAI-generated editorial hero image for What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post mortem findings Here is the full scope and timeline of the March 2026 LiteLLM supply chain at. Topic tags: general web, ai, automation, workflow, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts
openai.com
Ecco la ricostruzione completa e la cronologia dell'attacco informatico alla supply chain di LiteLLM del marzo 2026, basata su comunicazioni ufficiali, report di threat intelligence e analisi indipendenti.
Cronologia dell'attacco
19 marzo 2026 – TeamPCP compromette per primo Trivy, un popolare scanner di vulnerabilità open source di Aqua Security, iniettando codice malevolo in una dipendenza di Trivy .
24 marzo 2026, ~10:39 UTC – La versione di LiteLLM viene pubblicata su PyPI. Il problema è che la pipeline di build di LiteLLM si fida ciecamente dello scanner Trivy (ora infetto) durante i controlli di sicurezza CI/CD .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Attacco informatico a LiteLLM: portata e cronologia della violazione della supply chain AI più grande del 2026"?
Il 19 marzo 2026, il gruppo TeamPCP ha compromesso il vulnerabilità scanner Trivy di Aqua Security, iniettando codice malevolo in una sua dipendenza [12][14].
What are the key points to validate first?
Il 19 marzo 2026, il gruppo TeamPCP ha compromesso il vulnerabilità scanner Trivy di Aqua Security, iniettando codice malevolo in una sua dipendenza [12][14]. Il 24 marzo 2026, alle 10:39 UTC, LiteLLM ha pubblicato su PyPI le versioni 1.82.7 e 1.82.8, contenenti codice per rubare credenziali cloud, SSH, Kubernetes e altri segreti [1][2][6].
What should I do next in practice?
Le versioni infette sono state scaricate oltre 119.000 volte nei circa 40 minuti prima che PyPI le mettesse in quarantena [4][5].
Attacco informatico a LiteLLM: portata e cronologia della violazione della supply chain AI più grande del 2026
Il 19 marzo 2026, il gruppo TeamPCP ha compromesso il vulnerabilità scanner Trivy di Aqua Security, iniettando codice malevolo in una sua dipendenza [12][14]. Il 24 marzo 2026, alle 10:39 UTC, LiteLLM ha pubblicato su PyPI le versioni 1.82.7 e 1.82.8, contenenti codice per rubare credenziali cloud, SSH, Kubernetes e...
Il 19 marzo 2026, il gruppo TeamPCP ha compromesso il vulnerabilità scanner Trivy di Aqua Security, iniettando codice malevolo in una sua dipendenza [12][14].
Il 24 marzo 2026, alle 10:39 UTC, LiteLLM ha pubblicato su PyPI le versioni 1.82.7 e 1.82.8, contenenti codice per rubare credenziali cloud, SSH, Kubernetes e altri segreti [1][2][6].
Le versioni infette sono state scaricate oltre 119.000 volte nei circa 40 minuti prima che PyPI le mettesse in quarantena [4][5].
L'attacco ha esposto 153 GB di dati, tra cui 433.909 file e 118.829 dump di runner CI, riconducibili a 2.488 domini aziendali [2][12][13].
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaAI-generated editorial hero image for What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post mortem findings Here is the full scope and timeline of the March 2026 LiteLLM supply chain at. Topic tags: general web, ai, automation, workflow, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts
openai.com
Ecco la ricostruzione completa e la cronologia dell'attacco informatico alla supply chain di LiteLLM del marzo 2026, basata su comunicazioni ufficiali, report di threat intelligence e analisi indipendenti.
Cronologia dell'attacco
19 marzo 2026 – TeamPCP compromette per primo Trivy, un popolare scanner di vulnerabilità open source di Aqua Security, iniettando codice malevolo in una dipendenza di Trivy .
24 marzo 2026, ~10:39 UTC – La versione di LiteLLM viene pubblicata su PyPI. Il problema è che la pipeline di build di LiteLLM si fida ciecamente dello scanner Trivy (ora infetto) durante i controlli di sicurezza CI/CD .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Attacco informatico a LiteLLM: portata e cronologia della violazione della supply chain AI più grande del 2026"?
Il 19 marzo 2026, il gruppo TeamPCP ha compromesso il vulnerabilità scanner Trivy di Aqua Security, iniettando codice malevolo in una sua dipendenza [12][14].
What are the key points to validate first?
Il 19 marzo 2026, il gruppo TeamPCP ha compromesso il vulnerabilità scanner Trivy di Aqua Security, iniettando codice malevolo in una sua dipendenza [12][14]. Il 24 marzo 2026, alle 10:39 UTC, LiteLLM ha pubblicato su PyPI le versioni 1.82.7 e 1.82.8, contenenti codice per rubare credenziali cloud, SSH, Kubernetes e altri segreti [1][2][6].
What should I do next in practice?
Le versioni infette sono state scaricate oltre 119.000 volte nei circa 40 minuti prima che PyPI le mettesse in quarantena [4][5].
24 marzo 2026, ~10:39–11:19 UTC – Viene pubblicata anche la versione 1.82.8. Entrambe contengono codice malevolo che ruba credenziali cloud, chiavi SSH, configurazioni Kubernetes, credenziali di database, chiavi API e altri segreti, inviandoli a un server remoto controllato da TeamPCP .
24 marzo 2026, ~11:19 UTC – PyPI mette in quarantena il progetto LiteLLM (circa 40 minuti dopo la prima pubblicazione). Tuttavia, il team di LiteLLM consiglia di considerare sospette tutte le installazioni effettuate fino alle 16:00 UTC di quel giorno . I pacchetti sono stati scaricati oltre 119.000 volte durante la finestra di circa 2 ore e mezza .
Come ha funzionato l'attacco
TeamPCP ha sfruttato una compromissione a cascata della supply chain: prima hanno avvelenato Trivy, poi la pipeline CI/CD di LiteLLM — che utilizzava la dipendenza compromessa di Trivy nei suoi stessi controlli di sicurezza — è stata infettata durante il processo di build, fornendo agli aggressori le credenziali di pubblicazione su PyPI di LiteLLM . Questo ha permesso a TeamPCP di pubblicare versioni malevole direttamente su PyPI, aggirando il normale processo di rilascio basato su GitHub . Un'analisi ha sottolineato che "l'attacco ha avuto origine dalla dipendenza Trivy utilizzata nel flusso di lavoro di scansione della sicurezza CI/CD [di LiteLLM]" .
Entità dell'esfiltrazione dati
Hudson Rock ha ottenuto e analizzato in modo indipendente l'archivio grezzo degli aggressori: 153 GB contenenti 433.909 file e 118.829 dump di runner CI, attribuiti a 2.488 domini aziendali.
CloudSEK ha ricostruito circa 434.000 file catturati dalle pipeline CI/CD e ha identificato oltre 2.500 organizzazioni potenzialmente esposte.
L'FBI ha emesso un avviso flash (FLASH-20260702-01) il 2 luglio 2026, avvertendo di possibili attacchi mirati successivi .
Organizzazioni colpite
I domini esposti includono grandi aziende dei settori tecnologico, finanziario, industriale e delle telecomunicazioni. Tra le organizzazioni confermate da più fonti ci sono Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens e BT Group. Hudson Rock ha notato che l'archivio conteneva credenziali "ancora valide" per molte di queste organizzazioni, mesi dopo l'incidente .
Il test post-incidente di Kevin Beaumont
Dopo il resoconto di Ars Technica sull'attacco, Kevin Beaumont ha testato in modo indipendente le credenziali compromesse di una grande azienda tecnologica statunitense che aveva dichiarato di aver "fatto ruotare tutto". Utilizzando una politica di divulgazione responsabile, ha testato le credenziali e ha scoperto che "quasi tutte funzionavano" — il che significa che l'organizzazione non aveva effettivamente ruotato i suoi segreti compromessi, nonostante lo avesse dichiarato .
Raccomandazione urgente
Considera tutti i segreti, le chiavi API, le credenziali cloud, le chiavi SSH, le configurazioni Kubernetes e qualsiasi altro dato sensibile che era accessibile a LiteLLM versioni 1.82.7 o 1.82.8 come completamente compromesso. È essenziale ruotare immediatamente ogni credenziale che potrebbe essere stata esposta durante la finestra del 24 marzo 2026, indipendentemente dal fatto che un'organizzazione ritenga di averle già ruotate . L'attacco è considerato la più grande violazione della supply chain dell'infrastruttura AI del 2026, e i dati rubati rimangono una minaccia persistente per intrusioni future, come dimostrato dal test delle credenziali di Beaumont .
en.cryptonomist.chAI Supply Chain Breach Exposes 2,500+ Companies in 2026
24 marzo 2026, ~10:39–11:19 UTC – Viene pubblicata anche la versione 1.82.8. Entrambe contengono codice malevolo che ruba credenziali cloud, chiavi SSH, configurazioni Kubernetes, credenziali di database, chiavi API e altri segreti, inviandoli a un server remoto controllato da TeamPCP .
24 marzo 2026, ~11:19 UTC – PyPI mette in quarantena il progetto LiteLLM (circa 40 minuti dopo la prima pubblicazione). Tuttavia, il team di LiteLLM consiglia di considerare sospette tutte le installazioni effettuate fino alle 16:00 UTC di quel giorno . I pacchetti sono stati scaricati oltre 119.000 volte durante la finestra di circa 2 ore e mezza .
Come ha funzionato l'attacco
TeamPCP ha sfruttato una compromissione a cascata della supply chain: prima hanno avvelenato Trivy, poi la pipeline CI/CD di LiteLLM — che utilizzava la dipendenza compromessa di Trivy nei suoi stessi controlli di sicurezza — è stata infettata durante il processo di build, fornendo agli aggressori le credenziali di pubblicazione su PyPI di LiteLLM . Questo ha permesso a TeamPCP di pubblicare versioni malevole direttamente su PyPI, aggirando il normale processo di rilascio basato su GitHub . Un'analisi ha sottolineato che "l'attacco ha avuto origine dalla dipendenza Trivy utilizzata nel flusso di lavoro di scansione della sicurezza CI/CD [di LiteLLM]" .
Entità dell'esfiltrazione dati
Hudson Rock ha ottenuto e analizzato in modo indipendente l'archivio grezzo degli aggressori: 153 GB contenenti 433.909 file e 118.829 dump di runner CI, attribuiti a 2.488 domini aziendali.
CloudSEK ha ricostruito circa 434.000 file catturati dalle pipeline CI/CD e ha identificato oltre 2.500 organizzazioni potenzialmente esposte.
L'FBI ha emesso un avviso flash (FLASH-20260702-01) il 2 luglio 2026, avvertendo di possibili attacchi mirati successivi .
Organizzazioni colpite
I domini esposti includono grandi aziende dei settori tecnologico, finanziario, industriale e delle telecomunicazioni. Tra le organizzazioni confermate da più fonti ci sono Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens e BT Group. Hudson Rock ha notato che l'archivio conteneva credenziali "ancora valide" per molte di queste organizzazioni, mesi dopo l'incidente .
Il test post-incidente di Kevin Beaumont
Dopo il resoconto di Ars Technica sull'attacco, Kevin Beaumont ha testato in modo indipendente le credenziali compromesse di una grande azienda tecnologica statunitense che aveva dichiarato di aver "fatto ruotare tutto". Utilizzando una politica di divulgazione responsabile, ha testato le credenziali e ha scoperto che "quasi tutte funzionavano" — il che significa che l'organizzazione non aveva effettivamente ruotato i suoi segreti compromessi, nonostante lo avesse dichiarato .
Raccomandazione urgente
Considera tutti i segreti, le chiavi API, le credenziali cloud, le chiavi SSH, le configurazioni Kubernetes e qualsiasi altro dato sensibile che era accessibile a LiteLLM versioni 1.82.7 o 1.82.8 come completamente compromesso. È essenziale ruotare immediatamente ogni credenziale che potrebbe essere stata esposta durante la finestra del 24 marzo 2026, indipendentemente dal fatto che un'organizzazione ritenga di averle già ruotate . L'attacco è considerato la più grande violazione della supply chain dell'infrastruttura AI del 2026, e i dati rubati rimangono una minaccia persistente per intrusioni future, come dimostrato dal test delle credenziali di Beaumont .
en.cryptonomist.chAI Supply Chain Breach Exposes 2,500+ Companies in 2026
infostealers.comLargest AI Supply Chain Breach of 2026: LiteLLM Hack Impacts Thousands of Global Enterprises - Claim Your Ethical Disclosure
plainsec.comLiteLLM Breach Grew Into CI Secret Spill · PlainSec
docs.litellm.aiSecurity Townhall Updates