40分鐘嘅PyPI攻擊令超過2,500間企業中招：2026年3月LiteLLM供應鏈攻擊完整時間線

TeamPCP用偷返嚟嘅PyPI發佈憑證，直接將呢啲惡意版本推送畀PyPI，繞過咗LiteLLM正常嘅GitHub發佈流程。個團隊仲喺同一段時間內做咗其他惡意行為，包括改咗15個組織儲存庫嘅頁面、刪咗182個個人儲存庫，同埋將70個原本私人嘅BerriAI（LiteLLM嘅母公司）儲存庫變成公開。

攻擊係點運作：連鎖供應鏈入侵

呢次攻擊係連鎖供應鏈入侵嘅典型例子。TeamPCP冇直接攻擊LiteLLM，而係利用咗一條信賴鏈：

1. 第一步：入侵Trivy – 3月19日，TeamPCP用一個已經旋轉但未完全撤銷嘅憑證，入侵咗Trivy GitHub Actions管道。佢哋發佈咗惡意嘅Trivy版本，任何安裝咗受感染掃描器嘅CI/CD runner都會被注入偷取憑證嘅payload。
2. 第二步：入侵LiteLLM – LiteLLM自己嘅CI/CD管道會自動安裝Trivy做安全掃描。當管道喺3月24日運行時，佢拉咗受感染嘅Trivy版本。Trivy入面嘅惡意payload會掃描CI runner嘅環境，偷取LiteLLM嘅PyPI發佈token同GitHub憑證。
3. 第三步：入侵PyPI用戶 – TeamPCP攞到LiteLLM嘅PyPI憑證之後，就將惡意嘅LiteLLM版本推送畀PyPI。任何開發者或機構，只要執行咗

   pip install litellm==1.82.7

   或者1.82.8——或者佢哋嘅CI/CD管道自動拉咗最新版本——佢哋嘅構建環境都會俾人偷晒啲機密。

正如CloudSEK所講，「呢次攻擊源自LiteLLM CI/CD安全掃描工作流程所用嘅Trivy依賴」。呢次LiteLLM入侵本身冇CVE編號，因為LiteLLM自己嘅程式碼冇漏洞，漏洞係在於LiteLLM構建管道同佢嘅安全掃描工具之間嘅信賴關係。

數據外洩嘅規模

數據被偷嘅完整規模要到五個月之後，幾間威脅情報公司發表佢哋嘅分析時先至清楚：

• Hudson Rock獨立取得並分析咗攻擊者嘅原始外洩檔案：一個153 GB嘅RAR壓縮檔，入面有433,909個檔案同118,829個CI runner dump，涉及2,488個企業域名。
• CloudSEK重建咗大約434,000個被擷取嘅CI/CD管道檔案，並識別出超過2,500間可能受影響嘅機構。CloudSEK形容呢次係2026年至今最大規模嘅針對AI基建嘅供應鏈攻擊。
• 被洩漏嘅數據包括雲端平台憑證（AWS、GCP、Azure）、AI供應商API金鑰（OpenAI、Anthropic、Cohere等）、SSH私鑰、Kubernetes服務帳戶token、Docker Registry登入資料、.env檔案、數據庫連接字串、Slack簽署密碼、Salesforce客戶端密碼同Git憑證。

FBI喺2026年7月2日發出咗一個快速警告（FLASH-20260702-01），提醒關聯嘅攻擊者好可能會喺入侵之後好耐，先至用呢次TeamPCP行動偷返嚟嘅憑證做進一步攻擊。FBI呼籲機構更換喺相關曝光時段內可以用到嘅CI/CD機密、發佈token同雲端憑證。

受影響嘅機構

受影響嘅域名包括科技、金融、工業同電訊領域嘅大型企業。多個來源證實嘅機構包括：

• 科技： Amazon（AWS）、Microsoft、NVIDIA、Cisco Systems、Samsung Electronics、Salesforce、ServiceNow、X Corp（前Twitter）、Zscaler、Roku、Epic Games
• 工業： Volkswagen、Siemens、FedEx
• 金融： S&P Global、Deloitte
• 電訊： BT Group、Vodafone

CloudSEK嘅數據集包含「高信心匹配」，連結到呢啲機構嘅企業域名、儲存庫、憑證或基建。Hudson Rock指出，呢啲檔案入面有好多機構嘅憑證喺事發後幾個月依然「有效」。

Kevin Beaumont嘅事後測試

喺入侵發生五個月之後，獨立安全研究員Kevin Beaumont做咗一個重要嘅現實檢查。佢喺Ars Technica報道呢次入侵之後，測試咗一間聲稱已經「全部更換晒」嘅大型美國科技公司嘅受損憑證。佢用負責披露嘅方式測試，結果發現**「幾乎每一個都仲用得」**——即係呢間機構雖然話就話更換咗，但實際上根本冇做過。

呢個發現揭示咗一個重要教訓：聲稱已經更換憑證，同實際有冇更換，往往係兩回事。呢次攻擊被偷嘅憑證依然係即時威脅。

緊急建議

將所有可以接觸到LiteLLM版本1.82.7或1.82.8嘅機密、API金鑰、雲端憑證、SSH金鑰、Kubernetes配置同任何其他敏感數據，都當作已經完全洩漏。 即時更換任何可能喺2026年3月24日時段內曝光嘅憑證係至關重要——無論機構本身係咪認為已經做咗。

呢次攻擊被認為係2026年最大規模嘅AI基建供應鏈入侵，而被偷嘅數據對於跟進入侵仍然係持續威脅，正如Beaumont嘅憑證測試所證明。FBI已經警告後續攻擊好可能會發生，而呢個153GB壓縮檔入面大量有效憑證，對黑客嚟講就好似一份永遠嘅禮物。

如果你嘅機構喺2026年3月24日任何時間用過LiteLLM，就要當做已經俾人入侵。檢查有冇惡意嘅.pth檔案（litellm_init.pth）同持續性後門（~/.config/sysmon/sysmon.py），用

pip show litellm