40 минут, которые потрясли ИИ-инфраструктуру: как взлом LiteLLM затронул тысячи компаний
В марте 2026 года группа TeamPCP осуществила крупнейшую атаку на цепочку поставок ИИ инфраструктуры. Независимые исследователи позже подтвердили, что многие пострадавшие организации фактически не заменили скомпрометированные учетные данные спустя месяцы.
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
В марте 2026 года группа TeamPCP осуществила крупнейшую атаку на цепочку поставок ИИ инфраструктуры.
Независимые исследователи позже подтвердили, что многие пострадавшие организации фактически не заменили скомпрометированные учетные данные спустя месяцы.
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaThe March 2026 LiteLLM supply chain attack cascaded from a compromised security scanner to expose credentials from over 2,500 organizations worldwide.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post-mortem findings. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail lay
openai.com
В марте 2026 года всего 40 минут на PyPI стали катализатором крупнейшего взлома цепочки поставок ИИ-инфраструктуры за год. Группа TeamPCP опубликовала две вредоносные версии LiteLLM — широко используемого шлюза для ИИ-моделей с открытым исходным кодом. Последующая кража учетных данных затронула более 2 500 организаций по всему миру, включая Amazon, Microsoft, Cisco, NVIDIA и Samsung. Это полная хронология, механизм атаки и последствия инцидента.
Хронология атаки
Атака разворачивалась в течение нескольких дней марта 2026 года через каскадную компрометацию доверенных инструментов безопасности. Ключевые даты:
19 марта 2026 г. – TeamPCP скомпрометировала Trivy от Aqua Security, популярный сканер уязвимостей с открытым исходным кодом, используемый в конвейерах CI/CD. Группа воспользовалась неполной заменой учетных данных в Aqua Security, чтобы принудительно отправить вредоносные коммиты в 76 из 77 тегов версий trivy-action и во все семь тегов setup-trivy. Этому инциденту присвоен номер CVE-2026-33634 .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «40 минут, которые потрясли ИИ-инфраструктуру: как взлом LiteLLM затронул тысячи компаний»?
В марте 2026 года группа TeamPCP осуществила крупнейшую атаку на цепочку поставок ИИ инфраструктуры.
Какие ключевые моменты необходимо проверить в первую очередь?
В марте 2026 года группа TeamPCP осуществила крупнейшую атаку на цепочку поставок ИИ инфраструктуры. Независимые исследователи позже подтвердили, что многие пострадавшие организации фактически не заменили скомпрометированные учетные данные спустя месяцы.
40 минут, которые потрясли ИИ-инфраструктуру: как взлом LiteLLM затронул тысячи компаний
В марте 2026 года группа TeamPCP осуществила крупнейшую атаку на цепочку поставок ИИ инфраструктуры. Независимые исследователи позже подтвердили, что многие пострадавшие организации фактически не заменили скомпрометированные учетные данные спустя месяцы.
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
В марте 2026 года группа TeamPCP осуществила крупнейшую атаку на цепочку поставок ИИ инфраструктуры.
Независимые исследователи позже подтвердили, что многие пострадавшие организации фактически не заменили скомпрометированные учетные данные спустя месяцы.
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaThe March 2026 LiteLLM supply chain attack cascaded from a compromised security scanner to expose credentials from over 2,500 organizations worldwide.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post-mortem findings. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail lay
openai.com
В марте 2026 года всего 40 минут на PyPI стали катализатором крупнейшего взлома цепочки поставок ИИ-инфраструктуры за год. Группа TeamPCP опубликовала две вредоносные версии LiteLLM — широко используемого шлюза для ИИ-моделей с открытым исходным кодом. Последующая кража учетных данных затронула более 2 500 организаций по всему миру, включая Amazon, Microsoft, Cisco, NVIDIA и Samsung. Это полная хронология, механизм атаки и последствия инцидента.
Хронология атаки
Атака разворачивалась в течение нескольких дней марта 2026 года через каскадную компрометацию доверенных инструментов безопасности. Ключевые даты:
19 марта 2026 г. – TeamPCP скомпрометировала Trivy от Aqua Security, популярный сканер уязвимостей с открытым исходным кодом, используемый в конвейерах CI/CD. Группа воспользовалась неполной заменой учетных данных в Aqua Security, чтобы принудительно отправить вредоносные коммиты в 76 из 77 тегов версий trivy-action и во все семь тегов setup-trivy. Этому инциденту присвоен номер CVE-2026-33634 .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «40 минут, которые потрясли ИИ-инфраструктуру: как взлом LiteLLM затронул тысячи компаний»?
В марте 2026 года группа TeamPCP осуществила крупнейшую атаку на цепочку поставок ИИ инфраструктуры.
Какие ключевые моменты необходимо проверить в первую очередь?
В марте 2026 года группа TeamPCP осуществила крупнейшую атаку на цепочку поставок ИИ инфраструктуры. Независимые исследователи позже подтвердили, что многие пострадавшие организации фактически не заменили скомпрометированные учетные данные спустя месяцы.
~10:39 UTC 24 марта 2026 г. – Версия LiteLLM 1.82.7 была опубликована на PyPI. Вредоносный код был внедрен во время собственного процесса сборки CI/CD LiteLLM, поскольку конвейер автоматически устанавливал отравленный сканер Trivy в рамках рабочего процесса проверки безопасности .
~10:39–11:19 UTC 24 марта 2026 г. – Также была загружена версия 1.82.8. Вредоносная нагрузка в этих пакетах собирала ключи облачных сервисов, SSH, конфигурации Kubernetes, доступы к базам данных, API-ключи и другие секреты и отправляла их на удаленный сервер TeamPCP . Версия 1.82.8 была особенно опасна: она устанавливала файл .pth, который запускал нагрузку при любом вызове Python, даже если LiteLLM никогда явно не импортировался .
~11:19 UTC 24 марта 2026 г. – PyPI поместил проект LiteLLM в карантин, примерно через 40 минут после загрузки первой вредоносной версии. Однако команда LiteLLM посоветовала считать подозрительными любые установки до 16:00 UTC того же дня . Пакеты были скачаны более 119 000 раз за примерно 2,5-часовой период до вступления карантина в полную силу .
TeamPCP использовала украденные учетные данные PyPI для прямой публикации этих релизов, минуя обычный процесс выпуска LiteLLM через GitHub . Группа также провела ряд других вредоносных действий в тот же период: взломала 15 репозиториев организаций, уничтожила 182 личных репозитория и сделала общедоступными 70 приватных репозиториев BerriAI (материнской компании LiteLLM) .
Как работала атака: каскадная компрометация цепочки поставок
Эта атака — классический пример каскадной компрометации цепочки поставок. TeamPCP не атаковала LiteLLM напрямую. Вместо этого она использовала цепочку доверия:
Первая компрометация: Trivy – 19 марта TeamPCP получила доступ к конвейеру GitHub Actions Trivy, используя токен автоматизации, который был заменен, но не отозван полностью . Злоумышленники опубликовали вредоносные версии Trivy, которые внедряли нагрузку для кражи учетных данных на любом сервере CI/CD, где устанавливался скомпрометированный сканер.
Вторая компрометация: LiteLLM – Собственный конвейер CI/CD LiteLLM автоматически устанавливал сканер уязвимостей Trivy как шаг безопасности. Когда конвейер запустился 24 марта, он загрузил отравленную версию Trivy. Вредоносная нагрузка извлекла из среды CI/CD LiteLLM токены для публикации на PyPI и учетные данные GitHub .
Третья компрометация: пользователи PyPI – Имея учетные данные PyPI от LiteLLM, TeamPCP разместила вредоносные версии на PyPI. Любой разработчик или организация, выполнившие pip install litellm==1.82.7 или 1.82.8, чей конвейер автоматически загружал последнюю версию, теряли все секреты из своей среде сборки.
Как отметила CloudSEK, "атака произошла из-за зависимости от Trivy, используемой в рабочем процессе проверки безопасности CI/CD [LiteLLM]" . Для самого инцидента с LiteLLM нет CVE, потому что в коде LiteLLM не было уязвимостей; проблема была в доверительных отношениях между сборочным конвейером LiteLLM и инструментом проверки безопасности .
Масштаб кражи данных
Полный масштаб кражи данных стал известен только через пять месяцев, когда несколько фирм по киберразведке опубликовали свой анализ:
Hudson Rock самостоятельно получил и проанализировал необработанный архив злоумышленников: файл RAR объемом 153 ГБ, содержащий ровно 433 909 файлов и 118 829 дампов сред CI/CD, связанных с 2 488 корпоративными доменами.
CloudSEK восстановила около 434 000 файлов конвейеров CI/CD, захваченных злоумышленниками, и выявила более 2 500 потенциально скомпрометированных организаций. CloudSEK назвала этот инцидент крупнейшей атакой на цепочку поставок ИИ-инфраструктуры, выявленной в 2026 году .
Среди скомпрометированных данных: учетные данные облачных платформ (AWS, GCP, Azure), API-ключи ИИ-провайдеров (OpenAI, Anthropic, Cohere и др.), приватные SSH-ключи, токены сервисных аккаунтов Kubernetes, логины к реестрам Docker, файлы .env, строки подключения к базам данных, ключи подписи Slack, секреты клиентов Salesforce и учетные данные Git .
ФБР выпустило срочное предупреждение 2 июля 2026 года (FLASH-20260702-01), предупредив, что аффилированные лица, вероятно, будут использовать украденные учетные данные из кампании TeamPCP еще долго после первоначального взлома. Организациям было рекомендовано заменить секреты CI/CD, токены публикации и облачные учетные данные, доступные в соответствующие периоды .
Пострадавшие организации
Раскрытые домены включают крупные предприятия в сферах технологий, финансов, промышленности и телекоммуникаций. Подтвержденные организации из нескольких источников включают :
Технологии: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (бывший Twitter), Zscaler, Roku, Epic Games
Промышленность: Volkswagen, Siemens, FedEx
Финансы: S&P Global, Deloitte
Телекоммуникации: BT Group, Vodafone
Набор данных CloudSEK содержал "совпадения с высокой степенью достоверности", связанные с корпоративными доменами, репозиториями, учетными данными или инфраструктурой, принадлежащими этим организациям . Hudson Rock отметил, что архив содержал учетные данные, "все еще действительные" для многих из этих организаций спустя месяцы после инцидента .
Тестирование Кевина Бомонта после инцидента
Через пять месяцев после взлома независимый исследователь безопасности Кевин Бомонт провел критическую проверку. После отчета Ars Technica о взломе Бомонт протестировал скомпрометированные учетные данные крупной американской технологической компании, которая публично заявила, что "заменила все". Придерживаясь политики ответственного раскрытия, он проверил учетные данные и обнаружил, что "почти все работали" — это означает, что организация фактически не заменила свои скомпрометированные секреты, несмотря на заявления об обратном .
Этот вывод подчеркивает критический урок: заявления о замене учетных данных и фактическая замена — часто разные вещи, и украденные в результате этой атаки учетные данные остаются реальной угрозой.
Срочная рекомендация
Считайте все секреты, API-ключи, облачные учетные данные, SSH-ключи, конфигурации Kubernetes и любые другие конфиденциальные данные, которые были доступны версиям LiteLLM 1.82.7 или 1.82.8, полностью скомпрометированными. Незамедлительная замена всех учетных данных, которые могли быть раскрыты 24 марта 2026 года, обязательна — независимо от того, считает ли организация, что уже заменила их .
Эта атака считается крупнейшим взломом цепочки поставок ИИ-инфраструктуры в 2026 году, а украденные данные представляют собой постоянную угрозу для последующих вторжений, что подтвердило тестирование учетных данных Бомонтом . ФБР предупредило о вероятности последующих целенаправленных атак, и сокровищница действительных учетных данных в архиве объемом 153 ГБ — это подарок, который продолжает приносить беды для злоумышленников.
Если ваша организация использовала LiteLLM в любой степени 24 марта 2026 года, предполагайте компрометацию. Проверьте наличие вредоносного файла .pth (litellm_init.pth) и бэкдора для сохранения доступа (~/.config/sysmon/sysmon.py), проверьте установленную версию с помощью pip show litellm и замените все учетные данные, которые были доступны на затронутом хосте: облачные ключи, API-ключи ИИ-провайдеров, токены Kubernetes, SSH-ключи и токены CI/CD .
thecybersecguru.com2,500+ Organizations Exposed in LiteLLM Supply Chain Attack: 434,000 CI/CD Files Stolen | The CyberSec Guru
~10:39 UTC 24 марта 2026 г. – Версия LiteLLM 1.82.7 была опубликована на PyPI. Вредоносный код был внедрен во время собственного процесса сборки CI/CD LiteLLM, поскольку конвейер автоматически устанавливал отравленный сканер Trivy в рамках рабочего процесса проверки безопасности .
~10:39–11:19 UTC 24 марта 2026 г. – Также была загружена версия 1.82.8. Вредоносная нагрузка в этих пакетах собирала ключи облачных сервисов, SSH, конфигурации Kubernetes, доступы к базам данных, API-ключи и другие секреты и отправляла их на удаленный сервер TeamPCP . Версия 1.82.8 была особенно опасна: она устанавливала файл .pth, который запускал нагрузку при любом вызове Python, даже если LiteLLM никогда явно не импортировался .
~11:19 UTC 24 марта 2026 г. – PyPI поместил проект LiteLLM в карантин, примерно через 40 минут после загрузки первой вредоносной версии. Однако команда LiteLLM посоветовала считать подозрительными любые установки до 16:00 UTC того же дня . Пакеты были скачаны более 119 000 раз за примерно 2,5-часовой период до вступления карантина в полную силу .
TeamPCP использовала украденные учетные данные PyPI для прямой публикации этих релизов, минуя обычный процесс выпуска LiteLLM через GitHub . Группа также провела ряд других вредоносных действий в тот же период: взломала 15 репозиториев организаций, уничтожила 182 личных репозитория и сделала общедоступными 70 приватных репозиториев BerriAI (материнской компании LiteLLM) .
Как работала атака: каскадная компрометация цепочки поставок
Эта атака — классический пример каскадной компрометации цепочки поставок. TeamPCP не атаковала LiteLLM напрямую. Вместо этого она использовала цепочку доверия:
Первая компрометация: Trivy – 19 марта TeamPCP получила доступ к конвейеру GitHub Actions Trivy, используя токен автоматизации, который был заменен, но не отозван полностью . Злоумышленники опубликовали вредоносные версии Trivy, которые внедряли нагрузку для кражи учетных данных на любом сервере CI/CD, где устанавливался скомпрометированный сканер.
Вторая компрометация: LiteLLM – Собственный конвейер CI/CD LiteLLM автоматически устанавливал сканер уязвимостей Trivy как шаг безопасности. Когда конвейер запустился 24 марта, он загрузил отравленную версию Trivy. Вредоносная нагрузка извлекла из среды CI/CD LiteLLM токены для публикации на PyPI и учетные данные GitHub .
Третья компрометация: пользователи PyPI – Имея учетные данные PyPI от LiteLLM, TeamPCP разместила вредоносные версии на PyPI. Любой разработчик или организация, выполнившие pip install litellm==1.82.7 или 1.82.8, чей конвейер автоматически загружал последнюю версию, теряли все секреты из своей среде сборки.
Как отметила CloudSEK, "атака произошла из-за зависимости от Trivy, используемой в рабочем процессе проверки безопасности CI/CD [LiteLLM]" . Для самого инцидента с LiteLLM нет CVE, потому что в коде LiteLLM не было уязвимостей; проблема была в доверительных отношениях между сборочным конвейером LiteLLM и инструментом проверки безопасности .
Масштаб кражи данных
Полный масштаб кражи данных стал известен только через пять месяцев, когда несколько фирм по киберразведке опубликовали свой анализ:
Hudson Rock самостоятельно получил и проанализировал необработанный архив злоумышленников: файл RAR объемом 153 ГБ, содержащий ровно 433 909 файлов и 118 829 дампов сред CI/CD, связанных с 2 488 корпоративными доменами.
CloudSEK восстановила около 434 000 файлов конвейеров CI/CD, захваченных злоумышленниками, и выявила более 2 500 потенциально скомпрометированных организаций. CloudSEK назвала этот инцидент крупнейшей атакой на цепочку поставок ИИ-инфраструктуры, выявленной в 2026 году .
Среди скомпрометированных данных: учетные данные облачных платформ (AWS, GCP, Azure), API-ключи ИИ-провайдеров (OpenAI, Anthropic, Cohere и др.), приватные SSH-ключи, токены сервисных аккаунтов Kubernetes, логины к реестрам Docker, файлы .env, строки подключения к базам данных, ключи подписи Slack, секреты клиентов Salesforce и учетные данные Git .
ФБР выпустило срочное предупреждение 2 июля 2026 года (FLASH-20260702-01), предупредив, что аффилированные лица, вероятно, будут использовать украденные учетные данные из кампании TeamPCP еще долго после первоначального взлома. Организациям было рекомендовано заменить секреты CI/CD, токены публикации и облачные учетные данные, доступные в соответствующие периоды .
Пострадавшие организации
Раскрытые домены включают крупные предприятия в сферах технологий, финансов, промышленности и телекоммуникаций. Подтвержденные организации из нескольких источников включают :
Технологии: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (бывший Twitter), Zscaler, Roku, Epic Games
Промышленность: Volkswagen, Siemens, FedEx
Финансы: S&P Global, Deloitte
Телекоммуникации: BT Group, Vodafone
Набор данных CloudSEK содержал "совпадения с высокой степенью достоверности", связанные с корпоративными доменами, репозиториями, учетными данными или инфраструктурой, принадлежащими этим организациям . Hudson Rock отметил, что архив содержал учетные данные, "все еще действительные" для многих из этих организаций спустя месяцы после инцидента .
Тестирование Кевина Бомонта после инцидента
Через пять месяцев после взлома независимый исследователь безопасности Кевин Бомонт провел критическую проверку. После отчета Ars Technica о взломе Бомонт протестировал скомпрометированные учетные данные крупной американской технологической компании, которая публично заявила, что "заменила все". Придерживаясь политики ответственного раскрытия, он проверил учетные данные и обнаружил, что "почти все работали" — это означает, что организация фактически не заменила свои скомпрометированные секреты, несмотря на заявления об обратном .
Этот вывод подчеркивает критический урок: заявления о замене учетных данных и фактическая замена — часто разные вещи, и украденные в результате этой атаки учетные данные остаются реальной угрозой.
Срочная рекомендация
Считайте все секреты, API-ключи, облачные учетные данные, SSH-ключи, конфигурации Kubernetes и любые другие конфиденциальные данные, которые были доступны версиям LiteLLM 1.82.7 или 1.82.8, полностью скомпрометированными. Незамедлительная замена всех учетных данных, которые могли быть раскрыты 24 марта 2026 года, обязательна — независимо от того, считает ли организация, что уже заменила их .
Эта атака считается крупнейшим взломом цепочки поставок ИИ-инфраструктуры в 2026 году, а украденные данные представляют собой постоянную угрозу для последующих вторжений, что подтвердило тестирование учетных данных Бомонтом . ФБР предупредило о вероятности последующих целенаправленных атак, и сокровищница действительных учетных данных в архиве объемом 153 ГБ — это подарок, который продолжает приносить беды для злоумышленников.
Если ваша организация использовала LiteLLM в любой степени 24 марта 2026 года, предполагайте компрометацию. Проверьте наличие вредоносного файла .pth (litellm_init.pth) и бэкдора для сохранения доступа (~/.config/sysmon/sysmon.py), проверьте установленную версию с помощью pip show litellm и замените все учетные данные, которые были доступны на затронутом хосте: облачные ключи, API-ключи ИИ-провайдеров, токены Kubernetes, SSH-ключи и токены CI/CD .
thecybersecguru.com2,500+ Organizations Exposed in LiteLLM Supply Chain Attack: 434,000 CI/CD Files Stolen | The CyberSec Guru
labs.cloudsecurityalliance.orgTeamPCP’s LiteLLM Backdoor: New Data Shows 2,100+ Orgs Exposed
helpnetsecurity.com153GB of stolen credentials surface after LiteLLM supply chain attack
cyberpress.orgLiteLLM Package Compromise Can Expand Into ...
kaspersky.comTrojanization of Trivy, Checkmarx, and LiteLLM solutions - Kaspersky