Vụ tấn công chuỗi cung ứng LiteLLM tháng 3 năm 2026: Diễn biến, quy mô và hậu quả

Dưới đây là toàn cảnh và dòng thời gian chi tiết của vụ tấn công chuỗi cung ứng LiteLLM vào tháng 3 năm 2026, tổng hợp từ các thông báo chính thức, báo cáo tình báo mối đe dọa và phân tích độc lập.

Dòng thời gian vụ tấn công

• Ngày 19 tháng 3 năm 2026 – TeamPCP lần đầu tiên xâm nhập Trivy, một trình quét lỗ hổng mã nguồn mở phổ biến của Aqua Security, bằng cách tiêm mã độc vào một dependency của Trivy .
• Ngày 24 tháng 3 năm 2026, ~10:39 UTC – Phiên bản LiteLLM 1.82.7 được phát hành lên PyPI từ một pipeline xây dựng đã mù quáng tin tưởng vào trình quét Trivy đã bị nhiễm độc trong quá trình quét bảo mật CI/CD .
• Ngày 24 tháng 3 năm 2026, ~10:39–11:19 UTC – Phiên bản 1.82.8 cũng được đẩy lên. Các gói độc hại chứa mã đánh cắp thông tin đăng nhập, thu thập thông tin đăng nhập đám mây, khóa SSH, cấu hình Kubernetes, thông tin đăng nhập cơ sở dữ liệu, khóa API và các bí mật khác, gửi đến máy chủ từ xa của TeamPCP .
• Ngày 24 tháng 3 năm 2026, ~11:19 UTC – PyPI cách ly dự án LiteLLM (khoảng 40 phút sau khi phát hành lần đầu), nhưng nhóm LiteLLM khuyến cáo coi mọi bản cài đặt cho đến 16:00 UTC ngày hôm đó là đáng ngờ . Các gói đã được tải xuống hơn 119.000 lần trong khoảng thời gian khoảng 2,5 giờ .

Cách thức hoạt động của vụ tấn công

TeamPCP đã khai thác một vụ xâm phạm chuỗi cung ứng theo tầng: đầu tiên, chúng đầu độc Trivy (một trình quét bảo mật mã nguồn mở), sau đó pipeline CI/CD của LiteLLM — vốn sử dụng dependency Trivy đã bị xâm phạm trong quá trình quét bảo mật bản dựng của chính nó — đã bị nhiễm trong quá trình xây dựng, cấp cho kẻ tấn công thông tin đăng nhập PyPI của LiteLLM . Điều này cho phép TeamPCP đẩy các bản phát hành độc hại trực tiếp lên PyPI, vượt qua quy trình phát hành dựa trên GitHub thông thường của LiteLLM . Một phân tích lưu ý rằng cuộc tấn công "bắt nguồn từ dependency Trivy được sử dụng trong quy trình quét bảo mật CI/CD [của LiteLLM]" .

Quy mô của vụ rò rỉ dữ liệu

• Hudson Rock đã độc lập thu thập và phân tích kho lưu trữ thô của kẻ tấn công: 153 GB chứa 433.909 tệp và 118.829 bản sao CI/CD runner, được quy cho 2.488 tên miền doanh nghiệp .
• CloudSEK đã tái tạo khoảng 434.000 tệp pipeline CI/CD bị thu giữ và xác định hơn 2.500 tổ chức có khả năng bị lộ .
• FBI đã ban hành một cảnh báo flash (FLASH-20260702-01) vào ngày 2 tháng 7 năm 2026, cảnh báo về các cuộc tấn công tiếp theo có liên quan .

Các tổ chức bị ảnh hưởng

Các tên miền bị lộ bao gồm các doanh nghiệp lớn trong lĩnh vực công nghệ, tài chính, công nghiệp và viễn thông. Các tổ chức được xác nhận từ nhiều nguồn bao gồm Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens, và BT Group . Hudson Rock lưu ý rằng kho lưu trữ chứa các thông tin đăng nhập "vẫn còn hiệu lực" đối với nhiều tổ chức này nhiều tháng sau vụ việc .

Kiểm tra hậu sự kiện của Kevin Beaumont

Sau báo cáo của Ars Technica về vụ vi phạm, Kevin Beaumont đã độc lập kiểm tra thông tin đăng nhập bị xâm phạm từ một công ty công nghệ lớn của Mỹ tuyên bố đã "xoay vòng mọi thứ." Sử dụng chính sách tiết lộ có trách nhiệm, anh đã kiểm tra thông tin đăng nhập và phát hiện rằng "hầu hết mọi thứ đều hoạt động" — nghĩa là tổ chức này đã không thực sự xoay vòng các bí mật bị xâm phạm mặc dù đã tuyên bố như vậy .

Khuyến nghị khẩn cấp

Coi tất cả các bí mật, khóa API, thông tin đăng nhập đám mây, khóa SSH, cấu hình Kubernetes và bất kỳ dữ liệu nhạy cảm nào khác có thể truy cập được đối với LiteLLM phiên bản 1.82.7 hoặc 1.82.8 là đã bị xâm phạm hoàn toàn. Việc xoay vòng ngay lập tức mọi thông tin đăng nhập có thể đã bị lộ trong khoảng thời gian ngày 24 tháng 3 năm 2026 là rất cần thiết — bất kể tổ chức có tin rằng mình đã xoay vòng chúng hay chưa . Cuộc tấn công được coi là vụ vi phạm chuỗi cung ứng cơ sở hạ tầng AI lớn nhất năm 2026 và dữ liệu bị đánh cắp vẫn là mối đe dọa dai dẳng cho các cuộc xâm nhập tiếp theo, như đã được chứng minh qua thử nghiệm thông tin đăng nhập của Beaumont .