LiteLLM供应链攻击曝光：微软、亚马逊等2500余家机构凭证泄露

数TB规模的凭证数据在一场针对LiteLLM的供应链攻击中遭到泄露，受害者涵盖全球众多顶级机构和高敏感度组织。微软、亚马逊、思科、三星和Salesforce等企业的访问密钥均在此次事件中被暴露。

上述信息由安全公司CloudSEK和Hudson Rock于本周二、三相继披露。CloudSEK表示，此次泄露的数据涵盖云服务密钥、代码仓库Token、SSH密钥、Kubernetes机密信息、软件包发布凭证、环境变量以及AI服务商密钥，攻击者借助这些凭证可获取逾2500家机构的系统访问权限。

这批凭证数据的泄露发生在今年3月的一个约40分钟的时间窗口内，受害者在此期间通过Python软件包索引（PyPI）官方渠道下载并使用了被篡改的LiteLLM版本。Hudson Rock表示，该公司在分析一个195TB的文件后发现了此次事件，但两家公司均未披露信息的具体来源。

LiteLLM遭到入侵，源于此前一次波及广泛使用的漏洞扫描工具Trivy的供应链攻击。此次攻击活动同样波及KICS和Telnyx Python SDK。一个由青少年为主要成员组成、被称为TeamPCP的黑客团伙声称对此次攻击负责，多位研究人员已基本证实了该说法。

独立安全研究员凯文·博蒙特（Kevin Beaumont）表示：”我已确认这批数据的真实性，受害机构不止一家。数据中包含大量机构的高度敏感内容。这是一场大规模的供应链安全事件，根源在于薄弱的AI安全意识——威胁本身并非AI，而是那些热衷于快速上线AI产品却疏于DevOps安全管理的机构，反而被一群青少年黑客打了个措手不及。”

被入侵的四个软件包均被植入了恶意代码，这些代码可读取受感染机器的内存内容，并将其通过攻击者控制的渠道外传。泄露的数据内容庞杂，其中夹杂着大量属于数以万计机构的软件流水线凭证——这些机构均在供应链攻击活跃的那40分钟内运行过LiteLLM。

两家安全公司表示，因使用被入侵版本的LiteLLM，约434,000条CI/CD（持续集成/持续交付）软件流水线的凭证遭到暴露。在许多情况下，研究人员难以直接识别凭证所属的机构。例如，泄露数据中出现的某个@siriusxm.com域名邮箱地址，最终指向的并非卫星广播公司SiriusXM本身，而是其子公司AdsWizz的基础设施。

研究人员高度确信以下机构的凭证已遭泄露：

英伟达、亚马逊云科技（AWS）、三星电子、Salesforce、思科、罗氏制药、ServiceNow、西门子、标普全球、空客美国航天与防务部门、约翰迪尔、再生元制药、伦敦证券交易所集团、汤森路透、联邦快递、慕尼黑再保险、联发科、大众汽车、德勤、克罗格、西门子能源、泰雷兹集团、X公司（原Twitter）、Zscaler、Epic Games、Orange、惠普、飞利浦、芬腾（Fortum）、沃达丰、蔡司、德国铁路、NGINX、英国电信、利勃海尔、泰国国泰银行和Roku。

Hudson Rock指出：”大量CI/CD流水线采用通用化配置，被转储的变量中包含有效的数据库密码、第三方API密钥及云服务凭证，且不含任何可识别的企业邮箱、自定义域名字符串或内部服务器名称。这意味着无数机构的有效密钥此刻仍静静躺在这个数据库中，而它们自身对此毫不知情。”

两家公司呼吁所有曾使用受感染版本LiteLLM的机构——尤其是出现在高置信度名单中的机构——立即全面轮换其流水线中的所有凭证。Hudson Rock建议所有使用AI代理基础设施、第三方CI/CD漏洞扫描器或下游AI软件包的机构，立即排查其环境中是否存在LiteLLM的1.82.7和1.82.8版本（即两个受感染版本）。

Q&A

Q1：LiteLLM供应链攻击是如何发生的？

A：攻击者通过入侵广泛使用的漏洞扫描工具Trivy，进而篡改了LiteLLM在Python软件包索引（PyPI）上的发布版本（1.82.7和1.82.8）。被感染的软件包内植入了恶意代码，可读取运行机器的内存并将数据外传。整个攻击窗口仅持续约40分钟，但在此期间运行了受感染版本的机构，其流水线凭证均已遭到泄露。

Q2：此次LiteLLM事件中，哪些类型的数据被泄露了？

A：泄露的数据类型非常广泛，包括云服务密钥、代码仓库Token、SSH密钥、Kubernetes机密信息、软件包发布凭证、环境变量及AI服务商密钥等。此外，还涉及大量CI/CD流水线中使用的数据库密码和第三方API密钥，共波及约2500家机构的逾434,000条软件流水线凭证。

Q3：机构应如何应对LiteLLM凭证泄露风险？

A：安全公司建议，所有曾使用LiteLLM 1.82.7或1.82.8版本的机构应立即全面轮换CI/CD流水线中的所有凭证。同时，使用AI代理基础设施、第三方CI/CD漏洞扫描器或相关下游AI软件包的机构，也应尽快审查自身环境，核查是否存在受影响版本，并检查是否有其他关联软件（如KICS、Telnyx Python SDK）同样受到波及。