40-minutersattacken som avslöjade över 2 500 företag – hela tidslinjen för LiteLLM:s leveranskedjeattack i mars 2026

TeamPCP använde de stulna PyPI-publiceringsuppgifterna för att skicka dessa versioner direkt till PyPI, och kringgick därmed LiteLLM:s normala GitHub-baserade lanseringsprocess . Gruppen komprimerade också ytterligare skadlig aktivitet till samma fönster, inklusive att deface:a 15 organisationsarkiv, radera 182 personliga arkiv och göra 70 privata BerriAI-arkiv (LiteLLM:s moderorganisation) offentliga .

Hur attacken fungerade: En kaskadartad leveranskedjekompromettering

Attacken är ett typexempel på en kaskadartad leveranskedjekompromettering. TeamPCP attackerade inte LiteLLM direkt. Istället utnyttjade de en kedja av förtroende:

1. Första komprometteringen: Trivy – Den 19 mars fick TeamPCP tillgång till Trivys GitHub Actions-pipeline med hjälp av en uppgift som hade roterats men inte fullständigt återkallats . De publicerade skadliga Trivy-versioner som injicerade en nyttolast för att stjäla uppgifter från alla CI/CD-runners som installerade den komprometterade skannern.
2. Andra komprometteringen: LiteLLM – LiteLLM:s egen CI/CD-pipeline installerade automatiskt Trivy-sårbarhetsskannern som ett säkerhetssteg. När pipelinen kördes den 24 mars hämtade den den förgiftade Trivy-versionen. Den skadliga nyttolasten inuti Trivy skrapade CI-miljöns variabler och extraherade LiteLLM:s PyPI-publiceringstokens och GitHub-uppgifter .
3. Tredje komprometteringen: PyPI-användare – Beväpnade med LiteLLM:s PyPI-uppgifter tryckte TeamPCP skadliga LiteLLM-versioner till PyPI. Alla utvecklare eller organisationer som körde

   pip install litellm==1.82.7

   eller 1.82.8 – eller vars CI/CD-pipeline automatiskt hämtade den senaste versionen – fick sin byggmiljö skrapad på hemligheter.

Som CloudSEK noterade: "attacken härstammade från Trivy-beroendet som användes i [LiteLLM:s] CI/CD-säkerhetsgranskningsflöde" . Det finns ingen CVE för själva LiteLLM-komprometteringen eftersom ingenting i LiteLLM:s egen kod var sårbart; sårbarheten låg i förtroenderelationen mellan LiteLLM:s byggpipeline och dess säkerhetsgranskningsverktyg .

Omfattningen av datastölden

Den fulla omfattningen av datastölden blev tydlig först fem månader senare när flera hotintelligensföretag publicerade sina analyser:

• Hudson Rock erhöll och analyserade oberoende angriparnas råa exfiltreringsarkiv: en 153 GB RAR-fil som innehöll exakt 433 909 filer och 118 829 CI-runner-dumpar, kopplade till 2 488 företagsdomäner .
• CloudSEK rekonstruerade cirka 434 000 infångade CI/CD-pipelinefiler och identifierade över 2 500 potentiellt exponerade organisationer . CloudSEK beskrev incidenten som den största leveranskedjeattacken mot AI-infrastruktur som identifierats hittills 2026 .
• De komprometterade uppgifterna inkluderade molnplattformsuppgifter (AWS, GCP, Azure), API-nycklar för AI-leverantörer (OpenAI, Anthropic, Cohere etc.), privata SSH-nycklar, Kubernetes-tjänstkontotokens, Docker-registerinloggningar, .env-filer, databasanslutningssträngar, Slack-signeringshemligheter, Salesforce-klienthemligheter och Git-uppgifter .

FBI utfärdade den 2 juli 2026 en flash-rådgivning (FLASH-20260702-01) som varnade för att associerade aktörer sannolikt kommer att beväpna exfiltrerade uppgifter från TeamPCP-kampanjen långt efter den ursprungliga komprometteringen. De uppmanade organisationer att rotera CI/CD-hemligheter, publiceringstokens och molnuppgifter som var tillgängliga under de relevanta exponeringsfönstren .

Drabbade organisationer

De exponerade domänerna inkluderade stora företag inom teknik, finans, industri och telekom. Bekräftade namngivna organisationer från flera källor inkluderar :

• Teknik: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (tidigare Twitter), Zscaler, Roku, Epic Games
• Industri: Volkswagen, Siemens, FedEx
• Finans: S&P Global, Deloitte
• Telekom: BT Group, Vodafone

CloudSEK:s dataset innehöll "högt förtroende matchningar" kopplade till företagsdomäner, arkiv, uppgifter eller infrastruktur som tillhör dessa organisationer . Hudson Rock noterade att arkivet innehöll uppgifter som fortfarande var "giltiga" för många av dessa organisationer månader efter incidenten .

Kevin Beaumonts tester efter incidenten

Fem månader efter intrånget genomförde den oberoende säkerhetsforskaren Kevin Beaumont en avgörande verklighetskontroll. Efter Ars Technicas rapport om intrånget testade Beaumont komprometterade uppgifter från ett stort amerikanskt teknikföretag som offentligt hade hävdat att de "roterat allt". Genom att använda en policy för ansvarsfull avslöjande testade han uppgifterna och fann att "nästan varje fungerade" – vilket innebär att organisationen faktiskt inte hade roterat sina komprometterade hemligheter trots att de påstått motsatsen .

Detta fynd understryker en kritisk lärdom: uttalanden om rotationsåtgärder och faktisk rotation av uppgifter är ofta två olika saker, och de stulna uppgifterna från denna attack utgör fortfarande ett aktivt hot.

Brådskande rekommendation

Behandla alla hemligheter, API-nycklar, molnuppgifter, SSH-nycklar, Kubernetes-konfigurationer och andra känsliga data som var tillgängliga för LiteLLM-versionerna 1.82.7 eller 1.82.8 som fullständigt komprometterade. Omedelbar rotation av varje uppgift som kunde ha exponerats under fönstret den 24 mars 2026 är avgörande – oavsett om en organisation tror att de redan har roterat dem .

Attacken anses vara den största leveranskedjeattacken mot AI-infrastruktur 2026, och de stulna uppgifterna utgör ett bestående hot för uppföljande intrång, vilket Beaumonts tester visade . FBI har varnat för att uppföljande attacker är sannolika, och skattkistan av giltiga uppgifter i 153 GB-arkivet är en gåva som fortsätter att ge för hotaktörer.

Om din organisation använde LiteLLM i någon kapacitet den 24 mars 2026, utgå från att den är komprometterad. Kontrollera om den skadliga .pth-filen (litellm_init.pth) och bakdörren (~/.config/sysmon/sysmon.py) finns, verifiera den installerade versionen med

pip show litellm