Største AI-forsyningskjedeangrep i 2026: Slik kompromitterte TeamPCP LiteLLM og eksponerte 2500+ organisasjoner

Her er hele omfanget og tidslinjen for LiteLLM-forsyningskjedeangrepet i mars 2026, samlet fra offisielle avsløringer, trusselrapporter og uavhengige analyser.

Angrepstidslinje

• 19. mars 2026 – TeamPCP kompromitterte først Aqua Securitys Trivy, en mye brukt sikkerhetsskanner med åpen kildekode, ved å injisere ondsinnet kode i en Trivy-avhengighet .
• 24. mars 2026, ca. 10:39 UTC – LiteLLM versjon 1.82.7 ble publisert til PyPI fra en byggepipeline som blindt stolte på den nå forgiftede Trivy-skanneren under CI/CD-sikkerhetsskanning .
• 24. mars 2026, ca. 10:39–11:19 UTC – Versjon 1.82.8 ble også lastet opp. De ondsinnede pakkene inneholdt kode for å stjele legitimasjon som eksfiltrerte skylegitimasjon, SSH-nøkler, Kubernetes-konfigurasjoner, databaselegitimasjon, API-nøkler og andre hemmeligheter til TeamPCPs eksterne server .
• 24. mars 2026, ca. 11:19 UTC – PyPI satte LiteLLM-prosjektet i karantene (ca. 40 minutter etter første publisering), men LiteLLM-teamet anbefalte å behandle enhver installasjon frem til 16:00 UTC samme dag som mistenkelig . Pakkene ble lastet ned over 119 000 ganger i løpet av det omtrent 2,5 timer lange vinduet .

Slik fungerte angrepet

TeamPCP utnyttet en kaskade av forsyningskjedeangrep: de forgiftet først Trivy (en sikkerhetsskanner med åpen kildekode), deretter ble LiteLLMs CI/CD-pipeline – som brukte den kompromitterte Trivy-avhengigheten i sin egen byggesikkerhetsskanning – infisert under byggeprosessen. Dette ga angriperne LiteLLMs PyPI-publiseringslegitimasjon . Dette gjorde at TeamPCP kunne laste opp ondsinnede versjoner direkte til PyPI, utenom LiteLLMs normale GitHub-baserte publiseringsprosess . En analyse bemerket at angrepet «stammet fra Trivy-avhengigheten som ble brukt i [LiteLLMs] CI/CD-sikkerhetsskanningsarbeidsflyt» .

Omfanget av dataeksfiltreringen

• Hudson Rock skaffet seg uavhengig og analyserte angripernes råarkiv: 153 GB som inneholdt 433 909 filer og 118 829 CI-kjøringsdumper, knyttet til 2 488 bedriftsdomener .
• CloudSEK rekonstruerte omtrent 434 000 innsamlede CI/CD-pipelinefiler og identifiserte over 2 500 potensielt eksponerte organisasjoner .
• FBI utstedte en flash-advarsel (FLASH-20260702-01) den 2. juli 2026 og advarte om tilknyttet videre målretting .

Berørte organisasjoner

De eksponerte domenene inkluderte store foretak innen teknologi, finans, industri og telekom. Bekreftede navngitte organisasjoner fra flere kilder inkluderer Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens og BT Group . Hudson Rock bemerket at arkivet inneholdt legitimasjon som fremdeles var «gyldig» for mange av disse organisasjonene måneder etter hendelsen .

Kevin Beaumonts testing etter angrepet

Etter Ars Technicas rapport om angrepet testet Kevin Beaumont uavhengig kompromittert legitimasjon fra et stort amerikansk teknologiselskap som hevdet at det hadde «rotert alt». Ved å bruke en ansvarlig avsløringspolicy testet han legitimasjonen og fant at «nesten hver eneste fungerte» – noe som betyr at organisasjonen faktisk ikke hadde rotert sine kompromitterte hemmeligheter til tross for påstanden om det motsatte .

Kraftig anbefaling

Behandle alle hemmeligheter, API-nøkler, skylegitimasjon, SSH-nøkler, Kubernetes-konfigurasjoner og annen sensitiv data som var tilgjengelig for LiteLLM versjon 1.82.7 eller 1.82.8 som fullstendig kompromittert. Umiddelbar rotering av hver eneste legitimasjon som kan ha blitt eksponert i løpet av vinduet 24. mars 2026 er avgjørende – uavhengig av om organisasjonen mener den allerede har rotert dem . Angrepet regnes som det største AI-infrastrukturforsyningskjedeangrepet i 2026, og de stjålne dataene utgjør en vedvarende trussel for oppfølgende inntrengninger, som vist av Beaumonts legitimasjonstesting .