Massiv attack mot AI-infrastruktur: LiteLLM komprometterat via förgiftad Trivy-skanner
TeamPCP komprometterade Trivy (Aqua Securitys sårbarhetsskanner) den 19 mars 2026 och injicerade skadlig kod i en beroende. Den 24 mars 2026 publicerades LiteLLM version 1.82.7 och 1.82.8 på PyPI efter att bygg pipelinen infekterats av den förgiftade Trivy skannern.
TeamPCP komprometterade Trivy (Aqua Securitys sårbarhetsskanner) den 19 mars 2026 och injicerade skadlig kod i en beroende.
Den 24 mars 2026 publicerades LiteLLM version 1.82.7 och 1.82.8 på PyPI efter att bygg pipelinen infekterats av den förgiftade Trivy skannern.
De skadliga paketen stals molncredentials, SSH nycklar, Kubernetes konfigurationer, databasuppgifter och API nycklar till TeamPCP:s server.
PyPI satte paketen i karantän efter cirka 40 minuter, men nedladdningarna uppgick till över 119 000 och LiteLLM teamet varnade för installationer upp till 16:00 UTC samma dag.
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaAI-generated editorial hero image for What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post mortem findings Here is the full scope and timeline of the March 2026 LiteLLM supply chain at. Topic tags: general web, ai, automation, workflow, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts
openai.com
Här följer en detaljerad redogörelse för den fulla omfattningen och tidslinjen för LiteLLM-attacken i mars 2026, baserad på officiella uttalanden, hotintelligensrapporter och oberoende analyser.
Attackens tidslinje
19 mars 2026 – TeamPCP komprometterar först Aqua Securitys Trivy, en populär sårbarhetsskanner med öppen källkod, genom att injicera skadlig kod i en Trivy-beroende .
24 mars 2026, cirka 10:39 UTC – LiteLLM version 1.82.7 publiceras på PyPI från en bygg-pipeline som blint litade på den nu förgiftade Trivy-skannern under CI/CD-säkerhetsskanning .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Massiv attack mot AI-infrastruktur: LiteLLM komprometterat via förgiftad Trivy-skanner"?
TeamPCP komprometterade Trivy (Aqua Securitys sårbarhetsskanner) den 19 mars 2026 och injicerade skadlig kod i en beroende.
What are the key points to validate first?
TeamPCP komprometterade Trivy (Aqua Securitys sårbarhetsskanner) den 19 mars 2026 och injicerade skadlig kod i en beroende. Den 24 mars 2026 publicerades LiteLLM version 1.82.7 och 1.82.8 på PyPI efter att bygg pipelinen infekterats av den förgiftade Trivy skannern.
What should I do next in practice?
De skadliga paketen stals molncredentials, SSH nycklar, Kubernetes konfigurationer, databasuppgifter och API nycklar till TeamPCP:s server.
Massiv attack mot AI-infrastruktur: LiteLLM komprometterat via förgiftad Trivy-skanner
TeamPCP komprometterade Trivy (Aqua Securitys sårbarhetsskanner) den 19 mars 2026 och injicerade skadlig kod i en beroende. Den 24 mars 2026 publicerades LiteLLM version 1.82.7 och 1.82.8 på PyPI efter att bygg pipelinen infekterats av den förgiftade Trivy skannern.
TeamPCP komprometterade Trivy (Aqua Securitys sårbarhetsskanner) den 19 mars 2026 och injicerade skadlig kod i en beroende.
Den 24 mars 2026 publicerades LiteLLM version 1.82.7 och 1.82.8 på PyPI efter att bygg pipelinen infekterats av den förgiftade Trivy skannern.
De skadliga paketen stals molncredentials, SSH nycklar, Kubernetes konfigurationer, databasuppgifter och API nycklar till TeamPCP:s server.
PyPI satte paketen i karantän efter cirka 40 minuter, men nedladdningarna uppgick till över 119 000 och LiteLLM teamet varnade för installationer upp till 16:00 UTC samma dag.
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaAI-generated editorial hero image for What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post mortem findings Here is the full scope and timeline of the March 2026 LiteLLM supply chain at. Topic tags: general web, ai, automation, workflow, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts
openai.com
Här följer en detaljerad redogörelse för den fulla omfattningen och tidslinjen för LiteLLM-attacken i mars 2026, baserad på officiella uttalanden, hotintelligensrapporter och oberoende analyser.
Attackens tidslinje
19 mars 2026 – TeamPCP komprometterar först Aqua Securitys Trivy, en populär sårbarhetsskanner med öppen källkod, genom att injicera skadlig kod i en Trivy-beroende .
24 mars 2026, cirka 10:39 UTC – LiteLLM version 1.82.7 publiceras på PyPI från en bygg-pipeline som blint litade på den nu förgiftade Trivy-skannern under CI/CD-säkerhetsskanning .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Massiv attack mot AI-infrastruktur: LiteLLM komprometterat via förgiftad Trivy-skanner"?
TeamPCP komprometterade Trivy (Aqua Securitys sårbarhetsskanner) den 19 mars 2026 och injicerade skadlig kod i en beroende.
What are the key points to validate first?
TeamPCP komprometterade Trivy (Aqua Securitys sårbarhetsskanner) den 19 mars 2026 och injicerade skadlig kod i en beroende. Den 24 mars 2026 publicerades LiteLLM version 1.82.7 och 1.82.8 på PyPI efter att bygg pipelinen infekterats av den förgiftade Trivy skannern.
What should I do next in practice?
De skadliga paketen stals molncredentials, SSH nycklar, Kubernetes konfigurationer, databasuppgifter och API nycklar till TeamPCP:s server.
24 mars 2026, cirka 10:39–11:19 UTC – Även version 1.82.8 publiceras. De skadliga paketen innehåller kod som stjäl inloggningsuppgifter och exfiltrerar molncredentials, SSH-nycklar, Kubernetes-konfigurationer, databasuppgifter, API-nycklar och andra hemligheter till TeamPCP:s fjärrserver .
24 mars 2026, cirka 11:19 UTC – PyPI sätter LiteLLM-projektet i karantän (cirka 40 minuter efter första publiceringen), men LiteLLM-teamet rekommenderar att alla installationer fram till 16:00 UTC samma dag betraktas som misstänkta . Paketen laddades ned över 119 000 gånger under det cirka 2,5 timmar långa fönstret .
Så fungerade attacken
TeamPCP utnyttjade en kedjereaktion i leveranskedjan: de förgiftade först Trivy, sedan infekterades LiteLLM:s CI/CD-pipeline – som använde den komprometterade Trivy-beroendet i sin egen bygg-säkerhetsskanning – under byggprocessen, vilket gav angriparna LiteLLM:s PyPI-publiceringscredentials . Detta gjorde det möjligt för TeamPCP att publicera skadliga versioner direkt på PyPI, förbi LiteLLM:s normala GitHub-baserade publiceringsprocess . En analys påpekar att attacken ”härrörde från Trivy-beroendet som användes i [LiteLLM:s] CI/CD-säkerhetsskanningsarbetsflöde” .
Omfattningen av datastölden
Hudson Rock erhöll och analyserade oberoende angriparnas råarkiv: 153 GB innehållande 433 909 filer och 118 829 CI-runner-dumpar, kopplade till 2 488 företagsdomäner.
CloudSEK rekonstruerade cirka 434 000 infångade CI/CD-pipelinefiler och identifierade över 2 500 potentiellt exponerade organisationer.
FBI utfärdade en flash-advisory (FLASH-20260702-01) den 2 juli 2026 med varning om uppföljande riktade attacker .
Drabbade organisationer
De exponerade domänerna inkluderar stora företag inom teknik, finans, industri och telekom. Bekräftade namngivna organisationer från flera källor inkluderar Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens och BT Group. Hudson Rock noterade att arkivet innehöll credentials som fortfarande var giltiga för många av dessa organisationer månader efter incidenten .
Kevin Beaumonts test efter incidenten
Efter Ars Technicas rapport om intrånget testade Kevin Beaumont oberoende komprometterade credentials från ett stort amerikanskt teknikföretag som påstod att det hade ”roterat allt”. Enligt en ansvarsfull informationspolicy testade han credentials och fann att ”nästan alla fungerade” – vilket innebär att organisationen inte faktiskt hade roterat sina komprometterade hemligheter trots påståenden om motsatsen .
Akut rekommendation
Behandla alla hemligheter, API-nycklar, molncredentials, SSH-nycklar, Kubernetes-konfigurationer och andra känsliga data som var tillgängliga för LiteLLM version 1.82.7 eller 1.82.8 som fullständigt komprometterade. Omedelbar rotation av varje credential som kan ha exponerats under fönstret den 24 mars 2026 är nödvändig – oavsett om organisationen tror att den redan har roterat dem . Attacken anses vara det största AI-infrastruktur-leveranskedjeintrånget 2026, och den stulna datan utgör ett fortsatt hot för uppföljande intrång, vilket Beaumonts credential-test visade .
en.cryptonomist.chAI Supply Chain Breach Exposes 2,500+ Companies in 2026
24 mars 2026, cirka 10:39–11:19 UTC – Även version 1.82.8 publiceras. De skadliga paketen innehåller kod som stjäl inloggningsuppgifter och exfiltrerar molncredentials, SSH-nycklar, Kubernetes-konfigurationer, databasuppgifter, API-nycklar och andra hemligheter till TeamPCP:s fjärrserver .
24 mars 2026, cirka 11:19 UTC – PyPI sätter LiteLLM-projektet i karantän (cirka 40 minuter efter första publiceringen), men LiteLLM-teamet rekommenderar att alla installationer fram till 16:00 UTC samma dag betraktas som misstänkta . Paketen laddades ned över 119 000 gånger under det cirka 2,5 timmar långa fönstret .
Så fungerade attacken
TeamPCP utnyttjade en kedjereaktion i leveranskedjan: de förgiftade först Trivy, sedan infekterades LiteLLM:s CI/CD-pipeline – som använde den komprometterade Trivy-beroendet i sin egen bygg-säkerhetsskanning – under byggprocessen, vilket gav angriparna LiteLLM:s PyPI-publiceringscredentials . Detta gjorde det möjligt för TeamPCP att publicera skadliga versioner direkt på PyPI, förbi LiteLLM:s normala GitHub-baserade publiceringsprocess . En analys påpekar att attacken ”härrörde från Trivy-beroendet som användes i [LiteLLM:s] CI/CD-säkerhetsskanningsarbetsflöde” .
Omfattningen av datastölden
Hudson Rock erhöll och analyserade oberoende angriparnas råarkiv: 153 GB innehållande 433 909 filer och 118 829 CI-runner-dumpar, kopplade till 2 488 företagsdomäner.
CloudSEK rekonstruerade cirka 434 000 infångade CI/CD-pipelinefiler och identifierade över 2 500 potentiellt exponerade organisationer.
FBI utfärdade en flash-advisory (FLASH-20260702-01) den 2 juli 2026 med varning om uppföljande riktade attacker .
Drabbade organisationer
De exponerade domänerna inkluderar stora företag inom teknik, finans, industri och telekom. Bekräftade namngivna organisationer från flera källor inkluderar Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens och BT Group. Hudson Rock noterade att arkivet innehöll credentials som fortfarande var giltiga för många av dessa organisationer månader efter incidenten .
Kevin Beaumonts test efter incidenten
Efter Ars Technicas rapport om intrånget testade Kevin Beaumont oberoende komprometterade credentials från ett stort amerikanskt teknikföretag som påstod att det hade ”roterat allt”. Enligt en ansvarsfull informationspolicy testade han credentials och fann att ”nästan alla fungerade” – vilket innebär att organisationen inte faktiskt hade roterat sina komprometterade hemligheter trots påståenden om motsatsen .
Akut rekommendation
Behandla alla hemligheter, API-nycklar, molncredentials, SSH-nycklar, Kubernetes-konfigurationer och andra känsliga data som var tillgängliga för LiteLLM version 1.82.7 eller 1.82.8 som fullständigt komprometterade. Omedelbar rotation av varje credential som kan ha exponerats under fönstret den 24 mars 2026 är nödvändig – oavsett om organisationen tror att den redan har roterat dem . Attacken anses vara det största AI-infrastruktur-leveranskedjeintrånget 2026, och den stulna datan utgör ett fortsatt hot för uppföljande intrång, vilket Beaumonts credential-test visade .
en.cryptonomist.chAI Supply Chain Breach Exposes 2,500+ Companies in 2026
infostealers.comLargest AI Supply Chain Breach of 2026: LiteLLM Hack Impacts Thousands of Global Enterprises - Claim Your Ethical Disclosure
plainsec.comLiteLLM Breach Grew Into CI Secret Spill · PlainSec
docs.litellm.aiSecurity Townhall Updates