たった40分の攻撃で2,500社以上が露出：2026年3月、LiteLLMサプライチェーン侵害の完全タイムライン

2026年3月、たった40分という時間が、2026年最大のAIインフラ・サプライチェーン侵害の引き金となりました。脅威グループTeamPCPは、広く使われているオープンソースのAIプロキシゲートウェイ「LiteLLM」の悪意あるバージョンをPyPIに公開。その後の認証情報流出は、Amazon、Microsoft、Cisco、NVIDIA、Samsungなど、世界中の2,500以上の組織に影響を及ぼしました。本稿では、このインシデントの完全なタイムライン、攻撃の仕組み、そしてその余波を詳しく解説します。

攻撃のタイムライン

この攻撃は、2026年3月の数日間にわたって、信頼されたセキュリティツールのカスケード的な侵害を通じて展開されました。主要な日付は以下の通りです。

• 2026年3月19日 – TeamPCPが、CI/CDパイプラインで広く使われるオープンソースの脆弱性スキャナ「Aqua SecurityのTrivy」を侵害。不完全な認証情報のローテーションを悪用し、trivy-actionの76/77のバージョンタグと、setup-trivyの全7タグに悪意あるコミットを強制プッシュしました。この侵害にはCVE-2026-33634が割り当てられています。
• 2026年3月24日、～10:39 UTC – LiteLLMバージョン1.82.7がPyPIに公開。悪意あるコードは、LiteLLM自身のCI/CDビルドプロセスに注入されました。これは、パイプラインがセキュリティスキャンワークフローの一部として、先に汚染されたTrivyスキャナを自動インストールしたためです。
• 2026年3月24日、～10:39～11:19 UTC – バージョン1.82.8も同時に公開。これらのパッケージに仕込まれたバックドアは、クラウド認証情報、SSHキー、Kubernetes設定、データベース認証情報、APIキーなどの秘密情報を収集し、TeamPCPのリモートサーバーに送出するペイロードを実行しました。特にバージョン1.82.8は危険で、litellm_init.pthファイルがインストールされ、LiteLLMが明示的にインポートされていない場合でも、Pythonの起動時にペイロードが実行される仕組みでした。
• 2026年3月24日、～11:19 UTC – PyPIがLiteLLMプロジェクトを隔離。最初の悪意あるバージョンのアップロードからわずか約40分後のことです。しかし、LiteLLMチームは同日16:00 UTCまでのインストールをすべて疑うようアドバイスしています。これらのパッケージは、隔離が完全に有効になるまでの約2.5時間の間に11万9,000回以上ダウンロードされました。

TeamPCPは、盗み出したPyPI公開用認証情報を使ってこれらのリリースを直接PyPIにプッシュし、LiteLLMの通常のGitHubベースのリリースプロセスを迂回しました。また、同じ時間枠内に、15の組織リポジトリの改ざん、182の個人リポジトリの消去、BerriAI（LiteLLMの親組織）の70のプライベートリポジトリの公開など、さらに悪質な活動を圧縮して実行しました。

攻撃の仕組み：カスケード型サプライチェーン侵害

この攻撃は、カスケード型サプライチェーン侵害の教科書的な例です。TeamPCPはLiteLLMを直接攻撃したのではなく、信頼の連鎖を悪用しました。

1. 第一の侵害：Trivy – 3月19日、TeamPCPはローテーションされたものの完全には無効化されていなかった認証情報を使って、Trivy GitHub Actionsパイプラインに不正アクセスしました。彼らは、汚染されたスキャナをインストールしたすべてのCI/CDランナーに認証情報窃取ペイロードを注入する、悪意あるTrivyリリースを公開しました。
2. 第二の侵害：LiteLLM – LiteLLMのCI/CDパイプラインは、セキュリティステップとしてTrivy脆弱性スキャナを自動インストールしていました。3月24日にパイプラインが実行されたとき、汚染されたTrivyバージョンをプルしました。Trivy内の悪意あるペイロードはCIランナーの環境をスクレイピングし、LiteLLMのPyPI公開トークンとGitHub認証情報を抽出しました。
3. 第三の侵害：PyPIユーザー – LiteLLMのPyPI認証情報を手に入れたTeamPCPは、悪意あるLiteLLMリリースをPyPIにプッシュしました。

   pip install litellm==1.82.7

   または1.82.8を実行した開発者や組織、あるいはCI/CDパイプラインが自動的に最新バージョンをプルした場合、そのビルド環境から秘密情報がスクレイピングされることになります。

CloudSEKの報告によれば、「攻撃はLiteLLMのCI/CDセキュリティスキャンワークフローで使用されていたTrivy依存関係に起因する」とされています。このLiteLLM侵害自体にCVEは割り当てられていません。なぜなら、LiteLLMのコード自体に脆弱性があったわけではなく、ビルドパイプラインとそのセキュリティスキャンツールとの間の信頼関係そのものに脆弱性があったからです。

データ流出の規模

データ流出の全容が明らかになったのは、インシデントから5か月後、複数の脅威インテリジェンス企業が分析結果を発表した時点でした。

• Hudson Rockは、攻撃者の生の流出アーカイブを独自に入手・分析しました。そのサイズは153 GBのRARファイルで、正確に43万3,909ファイル、11万8,829件のCIランダンプが含まれており、2,488の企業ドメインに帰属することが判明しました。
• CloudSEKは、約43万4,000件の捕捉されたCI/CDパイプラインファイルを再構成し、2,500以上の組織が露出した可能性があると特定しました。CloudSEKは、このインシデントを2026年に確認された中で最大のAIインフラを標的としたサプライチェーン攻撃であると表現しています。
• 漏洩したデータには、クラウドプラットフォームの認証情報（AWS、GCP、Azure）、AIプロバイダーのAPIキー（OpenAI、Anthropic、Cohereなど）、SSH秘密鍵、Kubernetesサービスアカウントトークン、Dockerレジストリログイン、.envファイル、データベース接続文字列、Slack署名シークレット、Salesforceクライアントシークレット、Git認証情報などが含まれていました。

FBIは2026年7月2日付けのフラッシュ勧告（FLASH-20260702-01）を発出し、関連する脅威アクターが、最初の侵害から長期にわたってTeamPCPキャンペーン中に流出した認証情報を悪用する可能性が高いと警告しました。また、組織に対し、関連する露出期間中にアクセス可能だったCI/CDシークレット、公開トークン、クラウド認証情報をローテーションするよう指示しています。

影響を受けた組織

露出したドメインには、テクノロジー、金融、産業、通信セクターにわたる大企業が含まれていました。複数の情報源から確認されている組織名は以下の通りです。

• テクノロジー: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (旧Twitter), Zscaler, Roku, Epic Games
• 産業: Volkswagen, Siemens, FedEx
• 金融: S&P Global, Deloitte
• 通信: BT Group, Vodafone

CloudSEKのデータセットには、これらの組織に属する企業ドメイン、リポジトリ、認証情報、またはインフラストラクチャに関連する「高信頼度のマッチ」が含まれていました。Hudson Rockは、インシデントから数か月経った後も、アーカイブにはこれらの組織の多くで「依然として有効な」認証情報が含まれていたと指摘しています。

Kevin Beaumontによる事後検証

侵害から5か月後、独立系セキュリティ研究者のKevin Beaumontが、重要な現実確認を行いました。Ars Technicaの報道後、Beaumontは「すべてローテーションした」と公言していたある米国の大手テクノロジー企業から流出した認証情報をテストしました。責任ある開示ポリシーに従ってテストした結果、「ほぼすべてが機能した」ことが判明しました。つまり、同組織は公言に反して、実際には侵害された秘密情報をローテーションしていなかったのです。

この発見は、認証情報のローテーションに関する声明と実際のローテーションはしばしば異なるという重要な教訓を浮き彫りにしています。そして、この攻撃で盗まれた認証情報は、今なお現実的な脅威であり続けていることを示しています。

緊急対策の推奨

LiteLLMバージョン1.82.7または1.82.8にアクセス可能だったすべてのシークレット、APIキー、クラウド認証情報、SSHキー、Kubernetes設定、その他すべての機密データを完全に侵害されたものとして扱ってください。 2026年3月24日の時間枠に露出した可能性のあるすべての認証情報の即時ローテーションが不可欠です。組織がすでにローテーションしたと信じているかどうかに関わらず、実行すべきです。

この攻撃は2026年の最大のAIインフラ・サプライチェーン侵害と見なされており、盗まれたデータは、Beaumontの認証情報テストが示すように、フォローアップ侵入のための持続的な脅威であり続けています。FBIはフォローアップ攻撃の可能性を警告しており、153GBのアーカイブに含まれる有効な認証情報の宝庫は、脅威アクターにとって「贈与し続けるギフト」です。

あなたの組織が2026年3月24日に何らかの形でLiteLLMを使用した場合、侵害されたものと想定してください。悪意ある.pthファイル（litellm_init.pth）やバックドア（~/.config/sysmon/sysmon.py）の有無を確認し、

pip show litellm