40 минут, которые потрясли ИИ-инфраструктуру: как взлом LiteLLM затронул тысячи компаний

В марте 2026 года всего 40 минут на PyPI стали катализатором крупнейшего взлома цепочки поставок ИИ-инфраструктуры за год. Группа TeamPCP опубликовала две вредоносные версии LiteLLM — широко используемого шлюза для ИИ-моделей с открытым исходным кодом. Последующая кража учетных данных затронула более 2 500 организаций по всему миру, включая Amazon, Microsoft, Cisco, NVIDIA и Samsung. Это полная хронология, механизм атаки и последствия инцидента.

Хронология атаки

Атака разворачивалась в течение нескольких дней марта 2026 года через каскадную компрометацию доверенных инструментов безопасности. Ключевые даты:

• 19 марта 2026 г. – TeamPCP скомпрометировала Trivy от Aqua Security, популярный сканер уязвимостей с открытым исходным кодом, используемый в конвейерах CI/CD. Группа воспользовалась неполной заменой учетных данных в Aqua Security, чтобы принудительно отправить вредоносные коммиты в 76 из 77 тегов версий trivy-action и во все семь тегов setup-trivy . Этому инциденту присвоен номер CVE-2026-33634 .
• ~10:39 UTC 24 марта 2026 г. – Версия LiteLLM 1.82.7 была опубликована на PyPI. Вредоносный код был внедрен во время собственного процесса сборки CI/CD LiteLLM, поскольку конвейер автоматически устанавливал отравленный сканер Trivy в рамках рабочего процесса проверки безопасности .
• ~10:39–11:19 UTC 24 марта 2026 г. – Также была загружена версия 1.82.8. Вредоносная нагрузка в этих пакетах собирала ключи облачных сервисов, SSH, конфигурации Kubernetes, доступы к базам данных, API-ключи и другие секреты и отправляла их на удаленный сервер TeamPCP . Версия 1.82.8 была особенно опасна: она устанавливала файл .pth, который запускал нагрузку при любом вызове Python, даже если LiteLLM никогда явно не импортировался .
• ~11:19 UTC 24 марта 2026 г. – PyPI поместил проект LiteLLM в карантин, примерно через 40 минут после загрузки первой вредоносной версии. Однако команда LiteLLM посоветовала считать подозрительными любые установки до 16:00 UTC того же дня . Пакеты были скачаны более 119 000 раз за примерно 2,5-часовой период до вступления карантина в полную силу .

TeamPCP использовала украденные учетные данные PyPI для прямой публикации этих релизов, минуя обычный процесс выпуска LiteLLM через GitHub . Группа также провела ряд других вредоносных действий в тот же период: взломала 15 репозиториев организаций, уничтожила 182 личных репозитория и сделала общедоступными 70 приватных репозиториев BerriAI (материнской компании LiteLLM) .

Как работала атака: каскадная компрометация цепочки поставок

Эта атака — классический пример каскадной компрометации цепочки поставок. TeamPCP не атаковала LiteLLM напрямую. Вместо этого она использовала цепочку доверия:

1. Первая компрометация: Trivy – 19 марта TeamPCP получила доступ к конвейеру GitHub Actions Trivy, используя токен автоматизации, который был заменен, но не отозван полностью . Злоумышленники опубликовали вредоносные версии Trivy, которые внедряли нагрузку для кражи учетных данных на любом сервере CI/CD, где устанавливался скомпрометированный сканер.
2. Вторая компрометация: LiteLLM – Собственный конвейер CI/CD LiteLLM автоматически устанавливал сканер уязвимостей Trivy как шаг безопасности. Когда конвейер запустился 24 марта, он загрузил отравленную версию Trivy. Вредоносная нагрузка извлекла из среды CI/CD LiteLLM токены для публикации на PyPI и учетные данные GitHub .
3. Третья компрометация: пользователи PyPI – Имея учетные данные PyPI от LiteLLM, TeamPCP разместила вредоносные версии на PyPI. Любой разработчик или организация, выполнившие

   pip install litellm==1.82.7

   или 1.82.8, чей конвейер автоматически загружал последнюю версию, теряли все секреты из своей среде сборки.

Как отметила CloudSEK, "атака произошла из-за зависимости от Trivy, используемой в рабочем процессе проверки безопасности CI/CD [LiteLLM]" . Для самого инцидента с LiteLLM нет CVE, потому что в коде LiteLLM не было уязвимостей; проблема была в доверительных отношениях между сборочным конвейером LiteLLM и инструментом проверки безопасности .

Масштаб кражи данных

Полный масштаб кражи данных стал известен только через пять месяцев, когда несколько фирм по киберразведке опубликовали свой анализ:

• Hudson Rock самостоятельно получил и проанализировал необработанный архив злоумышленников: файл RAR объемом 153 ГБ, содержащий ровно 433 909 файлов и 118 829 дампов сред CI/CD, связанных с 2 488 корпоративными доменами .
• CloudSEK восстановила около 434 000 файлов конвейеров CI/CD, захваченных злоумышленниками, и выявила более 2 500 потенциально скомпрометированных организаций . CloudSEK назвала этот инцидент крупнейшей атакой на цепочку поставок ИИ-инфраструктуры, выявленной в 2026 году .
• Среди скомпрометированных данных: учетные данные облачных платформ (AWS, GCP, Azure), API-ключи ИИ-провайдеров (OpenAI, Anthropic, Cohere и др.), приватные SSH-ключи, токены сервисных аккаунтов Kubernetes, логины к реестрам Docker, файлы .env, строки подключения к базам данных, ключи подписи Slack, секреты клиентов Salesforce и учетные данные Git .

ФБР выпустило срочное предупреждение 2 июля 2026 года (FLASH-20260702-01), предупредив, что аффилированные лица, вероятно, будут использовать украденные учетные данные из кампании TeamPCP еще долго после первоначального взлома. Организациям было рекомендовано заменить секреты CI/CD, токены публикации и облачные учетные данные, доступные в соответствующие периоды .

Пострадавшие организации

Раскрытые домены включают крупные предприятия в сферах технологий, финансов, промышленности и телекоммуникаций. Подтвержденные организации из нескольких источников включают :

• Технологии: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (бывший Twitter), Zscaler, Roku, Epic Games
• Промышленность: Volkswagen, Siemens, FedEx
• Финансы: S&P Global, Deloitte
• Телекоммуникации: BT Group, Vodafone

Набор данных CloudSEK содержал "совпадения с высокой степенью достоверности", связанные с корпоративными доменами, репозиториями, учетными данными или инфраструктурой, принадлежащими этим организациям . Hudson Rock отметил, что архив содержал учетные данные, "все еще действительные" для многих из этих организаций спустя месяцы после инцидента .

Тестирование Кевина Бомонта после инцидента

Через пять месяцев после взлома независимый исследователь безопасности Кевин Бомонт провел критическую проверку. После отчета Ars Technica о взломе Бомонт протестировал скомпрометированные учетные данные крупной американской технологической компании, которая публично заявила, что "заменила все". Придерживаясь политики ответственного раскрытия, он проверил учетные данные и обнаружил, что "почти все работали" — это означает, что организация фактически не заменила свои скомпрометированные секреты, несмотря на заявления об обратном .

Этот вывод подчеркивает критический урок: заявления о замене учетных данных и фактическая замена — часто разные вещи, и украденные в результате этой атаки учетные данные остаются реальной угрозой.

Срочная рекомендация

Считайте все секреты, API-ключи, облачные учетные данные, SSH-ключи, конфигурации Kubernetes и любые другие конфиденциальные данные, которые были доступны версиям LiteLLM 1.82.7 или 1.82.8, полностью скомпрометированными. Незамедлительная замена всех учетных данных, которые могли быть раскрыты 24 марта 2026 года, обязательна — независимо от того, считает ли организация, что уже заменила их .

Эта атака считается крупнейшим взломом цепочки поставок ИИ-инфраструктуры в 2026 году, а украденные данные представляют собой постоянную угрозу для последующих вторжений, что подтвердило тестирование учетных данных Бомонтом . ФБР предупредило о вероятности последующих целенаправленных атак, и сокровищница действительных учетных данных в архиве объемом 153 ГБ — это подарок, который продолжает приносить беды для злоумышленников.

Если ваша организация использовала LiteLLM в любой степени 24 марта 2026 года, предполагайте компрометацию. Проверьте наличие вредоносного файла .pth (litellm_init.pth) и бэкдора для сохранения доступа (~/.config/sysmon/sysmon.py), проверьте установленную версию с помощью

pip show litellm