Serangan 40 Minit yang Mendedahkan 2,500+ Syarikat: Kronologi Penuh Pelanggaran Rantaian Bekalan LiteLLM Mac 2026

Pada Mac 2026, satu tetingkap selama 40 minit di PyPI menjadi pemangkin kepada pelanggaran rantaian bekalan infrastruktur AI terbesar tahun ini. Kumpulan ancaman TeamPCP menerbitkan dua versi berniat jahat LiteLLM, sebuah get laluan proksi AI sumber terbuka yang digunakan secara meluas, dan pengeluaran kredential berikutnya menyentuh lebih daripada 2,500 organisasi di seluruh dunia — termasuk Amazon, Microsoft, Cisco, NVIDIA, dan Samsung. Ini adalah kronologi lengkap, mekanisme serangan, dan kesan daripada insiden tersebut.

Kronologi Serangan

Serangan itu berlaku selama beberapa hari pada Mac 2026 melalui kompromi bertingkat alat keselamatan yang dipercayai. Tarikh-tarikh utama adalah:

• 19 Mac 2026 – TeamPCP menjejaskan Trivy Aqua Security, pengimbas kelemahan sumber terbuka popular yang digunakan dalam saluran paip CI/CD. Kumpulan itu mengeksploitasi penggiliran kredential yang tidak lengkap di Aqua Security untuk menolak komit berniat jahat secara paksa ke dalam 76 daripada 77 tag versi trivy-action dan kesemua tujuh tag setup-trivy . Kompromi ini diberikan CVE-2026-33634 .
• 24 Mac 2026, ~10:39 UTC – LiteLLM versi 1.82.7 diterbitkan ke PyPI. Kod berniat jahat telah disuntik semasa proses binaan CI/CD LiteLLM sendiri kerana saluran paip itu secara automatik memasang pengimbas Trivy yang kini diracun sebagai sebahagian daripada aliran kerja pengimbasan keselamatannya .
• 24 Mac 2026, ~10:39–11:19 UTC – Versi 1.82.8 juga ditolak. Pintu belakang dalam pakej ini melaksanakan muatan pencuri kredential yang menuai kredential awan, kunci SSH, konfigurasi Kubernetes, kredential pangkalan data, kunci API, dan rahsia lain, mengeksfiltrasikannya ke pelayan jauh TeamPCP . Versi 1.82.8 amat berbahaya: ia memasang fail .pth yang menjalankan muatan pada mana-mana panggilan Python, walaupun LiteLLM tidak pernah diimport secara eksplisit .
• 24 Mac 2026, ~11:19 UTC – PyPI mengkuarantin projek LiteLLM, kira-kira 40 minit selepas versi berniat jahat pertama dimuat naik. Walau bagaimanapun, pasukan LiteLLM menasihatkan supaya menganggap mana-mana pemasangan sehingga 16:00 UTC pada hari itu sebagai mencurigakan . Pakej itu dimuat turun lebih 119,000 kali dalam tempoh kira-kira 2.5 jam sebelum kuarantin berkuat kuasa sepenuhnya .

TeamPCP menggunakan kredential penerbitan PyPI yang dicuri untuk menolak keluaran ini terus ke PyPI, memintas proses pelepasan biasa LiteLLM berasaskan GitHub . Kumpulan itu juga memampatkan aktiviti berniat jahat tambahan ke dalam tetingkap yang sama, termasuk mencacatkan 15 repositori organisasi, menghapuskan 182 repositori peribadi, dan menjadikan 70 repositori BerriAI (organisasi induk LiteLLM) peribadi kepada awam .

Bagaimana Serangan Berfungsi: Kompromi Rantaian Bekalan Bertingkat

Serangan ini adalah contoh buku teks kompromi rantaian bekalan bertingkat. TeamPCP tidak menyerang LiteLLM secara langsung. Sebaliknya, mereka mengeksploitasi rantaian kepercayaan:

1. Kompromi pertama: Trivy – Pada 19 Mac, TeamPCP mendapat akses kepada saluran paip GitHub Actions Trivy menggunakan kredential yang telah diputar tetapi tidak dibatalkan sepenuhnya . Mereka menerbitkan keluaran Trivy berniat jahat yang menyuntik muatan pencuri kredential ke dalam mana-mana pelari CI/CD yang memasang pengimbas yang terjejas.
2. Kompromi kedua: LiteLLM – Saluran paip CI/CD LiteLLM sendiri secara automatik memasang pengimbas kelemahan Trivy sebagai langkah keselamatan. Apabila saluran paip berjalan pada 24 Mac, ia menarik versi Trivy yang diracun. Muatan berniat jahat di dalam Trivy mengikis persekitaran pelari CI, mengekstrak token penerbitan PyPI dan kredential GitHub LiteLLM .
3. Kompromi ketiga: Pengguna PyPI – Dengan kredential PyPI LiteLLM, TeamPCP menolak keluaran LiteLLM berniat jahat ke PyPI. Mana-mana pembangun atau organisasi yang menjalankan

   pip install litellm==1.82.7

   atau 1.82.8 — atau yang saluran paip CI/CDnya secara automatik menarik versi terkini — akan mempunyai persekitaran binaan mereka dikikis rahsianya.

Seperti yang dinyatakan oleh CloudSEK, "serangan itu berasal daripada kebergantungan Trivy yang digunakan dalam [LiteLLM] aliran kerja pengimbasan keselamatan CI/CD" . Tiada CVE untuk kompromi LiteLLM itu sendiri kerana tiada apa-apa dalam kod LiteLLM sendiri yang terdedah; kelemahan itu adalah dalam hubungan kepercayaan antara saluran paip binaan LiteLLM dan alat pengimbasan keselamatannya .

Skala Pengeluaran Data

Skala penuh kecurian data hanya menjadi jelas lima bulan kemudian apabila beberapa firma risikan ancaman menerbitkan analisis mereka:

• Hudson Rock secara bebas memperoleh dan menganalisis arkib pengeluaran mentah penyerang: fail RAR 153 GB yang mengandungi tepat 433,909 fail dan 118,829 dum pelari CI, dikaitkan dengan 2,488 domain korporat .
• CloudSEK membina semula kira-kira 434,000 fail saluran paip CI/CD yang ditangkap dan mengenal pasti lebih 2,500 organisasi yang berpotensi terdedah . CloudSEK menggambarkan insiden itu sebagai serangan rantaian bekalan terbesar yang menyasarkan infrastruktur AI yang dikenal pasti setakat ini pada tahun 2026 .
• Data yang terjejas termasuk kredential platform awan (AWS, GCP, Azure), kunci API pembekal AI (OpenAI, Anthropic, Cohere, dll.), kunci peribadi SSH, token akaun perkhidmatan Kubernetes, log masuk pendaftaran Docker, fail .env, rentetan sambungan pangkalan data, rahsia penandatanganan Slack, rahsia klien Salesforce, dan kredential Git .

FBI mengeluarkan nasihat kilat pada 2 Julai 2026 (FLASH-20260702-01) memberi amaran bahawa pelakon yang bersekutu berkemungkinan akan mempersenjatai kredential yang dieksfiltrasi semasa kempen TeamPCP lama selepas kompromi awal. Ia memberitahu organisasi untuk memutarkan rahsia CI/CD, token penerbitan, dan kredential awan yang boleh diakses semasa tetingkap pendedahan yang berkaitan .

Organisasi Terjejas

Domain yang terdedah termasuk perusahaan utama merentasi sektor teknologi, kewangan, perindustrian, dan telekomunikasi. Organisasi bernama yang disahkan daripada pelbagai sumber termasuk :

• Teknologi: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (kini Twitter), Zscaler, Roku, Epic Games
• Perindustrian: Volkswagen, Siemens, FedEx
• Kewangan: S&P Global, Deloitte
• Telekomunikasi: BT Group, Vodafone

Set data CloudSEK mengandungi "padanan keyakinan tinggi" yang dikaitkan dengan domain korporat, repositori, kredential, atau infrastruktur kepunyaan organisasi ini . Hudson Rock menyatakan arkib itu mengandungi kredential "masih sah" untuk banyak organisasi ini berbulan-bulan selepas insiden itu .

Ujian Pasca Insiden Kevin Beaumont

Lima bulan selepas pelanggaran itu, penyelidik keselamatan bebas Kevin Beaumont menjalankan pemeriksaan realiti yang penting. Selepas laporan Ars Technica mengenai pelanggaran itu, Beaumont menguji kredential yang terjejas daripada sebuah syarikat teknologi utama AS yang secara terbuka mendakwa telah "memutarkan segala-galanya." Menggunakan dasar pendedahan yang bertanggungjawab, dia menguji kredential itu dan mendapati bahawa "hampir setiap satu berfungsi" — bermakna organisasi itu sebenarnya tidak memutarkan rahsia terjejasnya walaupun mendakwa sebaliknya .

Penemuan ini menekankan pengajaran kritikal: kenyataan tentang penggiliran kredential dan penggiliran kredential sebenar selalunya adalah dua perkara yang berbeza, dan kredential yang dicuri daripada serangan ini kekal sebagai ancaman hidup.

Syor Segera

Anggap semua rahsia, kunci API, kredential awan, kunci SSH, konfigurasi Kubernetes, dan sebarang data sensitif lain yang boleh diakses oleh LiteLLm versi 1.82.7 atau 1.82.8 sebagai terjejas sepenuhnya. Penggiliran segera setiap kredential yang mungkin terdedah semasa tetingkap 24 Mac 2026 adalah penting — tanpa mengira sama ada organisasi percaya ia telah memutarkannya sudah .

Serangan itu dianggap sebagai pelanggaran rantaian bekalan infrastruktur AI terbesar pada tahun 2026, dan data yang dicuri kekal sebagai ancaman berterusan untuk pencerobohan susulan, seperti yang ditunjukkan oleh ujian kredential Beaumont . FBI telah memberi amaran bahawa sasaran susulan adalah berkemungkinan, dan khazanah kredential sah dalam arkib 153GB adalah hadiah yang terus memberi untuk pelakon ancaman.

Jika organisasi anda menggunakan LiteLLM dalam mana-mana kapasiti pada 24 Mac 2026, anggap kompromi. Periksa fail .pth berniat jahat (litellm_init.pth) dan pintu belakang kegigihan (~/.config/sysmon/sysmon.py), sahkan versi yang dipasang dengan

pip show litellm