LiteLLM 공급망 공격의 전체 타임라인과 피해 규모

다음은 2026년 3월 발생한 LiteLLM 공급망 공격의 전체 범위와 타임라인을 공식 발표, 위협 인텔리전스 보고서, 독립 분석을 종합해 정리한 내용입니다.

공격 타임라인

• 2026년 3월 19일 – TeamPCP가 널리 사용되는 오픈소스 취약점 스캐너인 Aqua Security의 Trivy를 최초로 장악하고, Trivy 의존성에 악성 코드를 주입했습니다 .
• 2026년 3월 24일, ~10:39 UTC – LiteLLM 버전 1.82.7이 PyPI에 게시되었습니다. 이는 CI/CD 보안 스캔 과정에서 오염된 Trivy 스캐너를 맹목적으로 신뢰한 빌드 파이프라인을 통해 이루어졌습니다 .
• 2026년 3월 24일, ~10:39–11:19 UTC – 버전 1.82.8도 함께 푸시되었습니다. 악성 패키지에는 클라우드 자격증명, SSH 키, 쿠버네티스 설정, 데이터베이스 자격증명, API 키 등 각종 비밀정보를 탈취해 TeamPCP의 원격 서버로 전송하는 코드가 포함되어 있었습니다 .
• 2026년 3월 24일, ~11:19 UTC – PyPI가 LiteLLM 프로젝트를 격리했습니다(최초 게시 후 약 40분). 그러나 LiteLLM 팀은 해당일 16:00 UTC까지 설치된 모든 버전을 의심스러운 것으로 간주하라고 권고했습니다 . 이 패키지들은 약 2시간 30분의 창(window) 동안 119,000회 이상 다운로드되었습니다 .

공격 메커니즘

TeamPCP는 연쇄적인 공급망 손상을 이용했습니다. 먼저 Trivy(오픈소스 보안 스캐너)를 오염시킨 후, LiteLLM의 CI/CD 파이프라인(자체 보안 스캔에 손상된 Trivy 의존성을 사용)이 빌드 과정에서 감염되어 공격자에게 LiteLLM의 PyPI 게시 자격증명이 유출되었습니다 . 이를 통해 TeamPCP는 LiteLLM의 정상적인 GitHub 기반 릴리스 프로세스를 우회하고 악성 릴리스를 직접 PyPI에 푸시할 수 있었습니다 . 한 분석에 따르면 공격은 "LiteLLM CI/CD 보안 스캐닝 워크플로우에 사용된 Trivy 의존성에서 시작되었습니다" .

데이터 탈취 규모

• Hudson Rock은 공격자의 원본 아카이브를 독립적으로 입수해 분석했습니다. 153GB 용량에 433,909개 파일과 118,829개 CI 러너 덤프가 포함되어 있으며, 2,488개 기업 도메인과 연계되었습니다 .
• CloudSEK는 약 434,000개의 탈취된 CI/CD 파이프라인 파일을 재구성했으며, 2,500개 이상의 조직이 잠재적으로 노출되었다고 확인했습니다 .
• FBI는 2026년 7월 2일 플래시 권고(FLASH-20260702-01)를 발행해 연계된 후속 표적 공격 가능성을 경고했습니다 .

피해 조직

노출된 도메인에는 기술, 금융, 산업, 통신 분야의 주요 기업들이 포함됩니다. 여러 출처에서 확인된 조직으로는 Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens, BT Group 등이 있습니다 . Hudson Rock은 이 아카이브에 사건 발생 수개월 후에도 "여전히 유효한" 자격증명이 포함되어 있다고 지적했습니다 .

Kevin Beaumont의 사후 테스트

Ars Technica의 보도 이후, Kevin Beaumont는 "모든 것을 교체했다"고 주장한 대형 미국 기술 기업의 유출된 자격증명을 독립적으로 테스트했습니다. 책임 있는 공개 정책에 따라 테스트한 결과, "거의 모든 자격증명이 여전히 작동" 했습니다. 이는 해당 조직이 공개적인 주장과 달리 실제로는 유출된 비밀정보를 교체하지 않았음을 의미합니다 .

긴급 권고

LiteLLM 버전 1.82.7 또는 1.82.8에 접근 가능했던 모든 비밀정보, API 키, 클라우드 자격증명, SSH 키, 쿠버네티스 설정 및 기타 민감 데이터를 완전히 유출된 것으로 간주하십시오. 2026년 3월 24일 노출 창(window) 동안 유출될 수 있었던 모든 자격증명을 즉시 교체하는 것이 필수적입니다. 조직이 이미 교체했다고 믿는 경우에도 마찬가지입니다 . 이번 공격은 2026년 최대 규모의 AI 인프라 공급망 침해 사례로 평가되며, Beaumont의 자격증명 테스트에서 입증되었듯이 탈취된 데이터는 후속 침해를 위한 지속적인 위협으로 남아 있습니다 .