Attacco informatico a LiteLLM: portata e cronologia della violazione della supply chain AI più grande del 2026

Come ha funzionato l'attacco

TeamPCP ha sfruttato una compromissione a cascata della supply chain: prima hanno avvelenato Trivy, poi la pipeline CI/CD di LiteLLM — che utilizzava la dipendenza compromessa di Trivy nei suoi stessi controlli di sicurezza — è stata infettata durante il processo di build, fornendo agli aggressori le credenziali di pubblicazione su PyPI di LiteLLM . Questo ha permesso a TeamPCP di pubblicare versioni malevole direttamente su PyPI, aggirando il normale processo di rilascio basato su GitHub . Un'analisi ha sottolineato che "l'attacco ha avuto origine dalla dipendenza Trivy utilizzata nel flusso di lavoro di scansione della sicurezza CI/CD [di LiteLLM]" .

Entità dell'esfiltrazione dati

• Hudson Rock ha ottenuto e analizzato in modo indipendente l'archivio grezzo degli aggressori: 153 GB contenenti 433.909 file e 118.829 dump di runner CI, attribuiti a 2.488 domini aziendali .
• CloudSEK ha ricostruito circa 434.000 file catturati dalle pipeline CI/CD e ha identificato oltre 2.500 organizzazioni potenzialmente esposte .
• L'FBI ha emesso un avviso flash (FLASH-20260702-01) il 2 luglio 2026, avvertendo di possibili attacchi mirati successivi .

Organizzazioni colpite

I domini esposti includono grandi aziende dei settori tecnologico, finanziario, industriale e delle telecomunicazioni. Tra le organizzazioni confermate da più fonti ci sono Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens e BT Group . Hudson Rock ha notato che l'archivio conteneva credenziali "ancora valide" per molte di queste organizzazioni, mesi dopo l'incidente .

Il test post-incidente di Kevin Beaumont

Dopo il resoconto di Ars Technica sull'attacco, Kevin Beaumont ha testato in modo indipendente le credenziali compromesse di una grande azienda tecnologica statunitense che aveva dichiarato di aver "fatto ruotare tutto". Utilizzando una politica di divulgazione responsabile, ha testato le credenziali e ha scoperto che "quasi tutte funzionavano" — il che significa che l'organizzazione non aveva effettivamente ruotato i suoi segreti compromessi, nonostante lo avesse dichiarato .

Raccomandazione urgente

Considera tutti i segreti, le chiavi API, le credenziali cloud, le chiavi SSH, le configurazioni Kubernetes e qualsiasi altro dato sensibile che era accessibile a LiteLLM versioni 1.82.7 o 1.82.8 come completamente compromesso. È essenziale ruotare immediatamente ogni credenziale che potrebbe essere stata esposta durante la finestra del 24 marzo 2026, indipendentemente dal fatto che un'organizzazione ritenga di averle già ruotate . L'attacco è considerato la più grande violazione della supply chain dell'infrastruttura AI del 2026, e i dati rubati rimangono una minaccia persistente per intrusioni future, come dimostrato dal test delle credenziali di Beaumont .