CloudSEK collega la violazione della catena di approvvigionamento di LiteLLM a 2.500 organizzazioni

L’azienda di intelligence sulla minaccia CloudSEK ha dichiarato in un rapporto pubblicato l’11 agosto 2026 che ha identificato oltre 2.500 organizzazioni potenzialmente esposte a causa della compromissione della catena di approvvigionamento di LiteLLM, la porta di accesso open-source che gli sviluppatori utilizzano per instradare le richieste ai modelli di intelligenza artificiale, e ha ricostruito circa 434.000 pipeline di CI/CD interessate dall’esposizione.

I dati provengono da un rapporto di ricerca di CloudSEK basato su un set di dati delle vittime che la società afferma di aver ottenuto tramite il suo team di intelligence sulla minaccia, relativo alla campagna di marzo. Il set di dati di CloudSEK contiene corrispondenze ad alta fiducia legate a domini aziendali, repository, credenziali o infrastrutture appartenenti a organizzazioni come NVIDIA, Samsung Electronics, Cisco Systems, Siemens, S&P Global, ServiceNow, Deloitte, Vodafone, X Corp, Zscaler, FedEx, Volkswagen, Thales e London Stock Exchange Group. La società è esplicita su cosa significano queste corrispondenze: un alto livello di fiducia descrive la forza delle prove che collegano le informazioni esposte a un’organizzazione, non la prova che l’organizzazione sia stata violata o che un attaccante abbia utilizzato le informazioni rubate.

L’incidente al centro della ricerca è iniziato il 24 marzo 2026, quando un gruppo noto come TeamPCP ha pubblicato versioni maliziose di LiteLLM, le versioni 1.82.7 e 1.82.8, nell’indice dei pacchetti Python. Le versioni dannose sono state disponibili per circa 40 minuti prima di essere rimosse. Questa finestra di tempo è stata sufficiente: le pipeline di CI/CD installano le dipendenze in modo automatico e spesso eseguono con ampi privilegi, quindi un pacchetto avvelenato si propaga attraverso i sistemi di build aziendali a velocità di macchina senza che nessun sviluppatore lo esamini.

Come un token leakato ha raggiunto 434.000 pipeline

LiteLLM non è stato attaccato direttamente. La catena documentata nel rapporto di CloudSEK inizia un passo più in alto, con Trivy, uno scanner di sicurezza open-source ampiamente utilizzato. Un token di automazione leakato associato allo scanner è stato ruotato ma non completamente revocato, lasciando una finestra di circa 20 giorni durante i quali gli attaccanti hanno forzato il push di codice malizioso sui tag di versione pubblicati dello scanner. Poiché la pipeline di build di LiteLLM ha installato Trivy non bloccato dal gestore di pacchetti del sistema, lo scanner compromesso è fluito direttamente nella build, e la build avvelenata ha prodotto e pubblicato le versioni maliziose 1.82.7 e 1.82.8 su PyPI. Un token non revocato, tre strumenti più in basso.

La progettazione del payload ha reso conto della breve finestra di tempo. La versione 1.82.8 ha rilasciato un file malizioso .pth nell’ambiente Python, e i file .pth vengono eseguiti ogni volta che l’interprete Python viene avviato, indipendentemente dal fatto che LiteLLM venga importato o meno. Ciò aggira completamente le protezioni degli script di installazione. Sui runner compromessi, il furto di credenziali che l’FBI chiama SANDCLOCK è stato elevato a root e ha spazzato via le chiavi SSH, le credenziali di AWS, Google Cloud e Azure, i token di servizio di Kubernetes, i file di ambiente e i segreti di CI/CD, raschiando valori dalla memoria del processo che normalmente gli strumenti cercano di mascherare. Le chiavi cloud provenivano direttamente dal servizio di metadata dell’istanza, utilizzando l’accesso che il runner già aveva piuttosto che qualsiasi sfruttamento. Per le build di intelligenza artificiale in particolare, il bottino includeva chiavi API LLM e configurazione del gateway: le credenziali per l’intero stack di intelligenza artificiale di un’organizzazione.

I dati rubati sono stati crittografati con una chiave hardcoded e esfiltrati a un dominio typosquattato. Dove l’esfiltrazione non è riuscita, il malware ha creato un repository pubblico all’interno dell’account GitHub della vittima e ha caricato il materiale rubato lì come asset di rilascio, il che significa che alcune organizzazioni stavano pubblicando i propri segreti in chiaro.

Perché il rischio è durato più a lungo del pacchetto

Rimuovere le versioni maliziose da PyPI non ha chiuso l’incidente. Qualsiasi credenziale copiata mentre il pacchetto avvelenato era attivo rimane valida fino a quando il proprietario non la ruota o la revoca, e la rimozione del pacchetto non fa nulla di per sé. L’FBI ha fatto lo stesso punto in un avviso FLASH del 2 luglio 2026 su TeamPCP, avvertendo che le organizzazioni colpite dalla campagna dovrebbero considerare i dati e le credenziali esfiltrate come un rischio persistente perché gli attori affiliati probabilmente li utilizzeranno a lungo dopo l’intrusione iniziale.

L’avviso conferma l’ambito della campagna al di là di LiteLLM: TeamPCP ha Trojanizzato Trivy, lo scanner KICS di Checkmarx, LiteLLM e l’SDK Python di Telnyx, strumenti incorporati nelle pipeline aziendali, infrastrutture cloud e flussi di lavoro di sicurezza, e ha abbinato le intrusioni con l’estorsione, pubblicando i nomi delle vittime su un sito di leak pubblico e minacciando di divulgare i dati rubati.

Le mitigazioni raccomandate dall’FBI si sovrappongono quasi esattamente con ciò che la catena di LiteLLM ha sfruttato: bloccare le azioni di GitHub ai commit hash verificati invece dei tag di versione galleggianti, ruotare ogni segreto di CI/CD e token di pubblicazione accessibili durante la finestra di esposizione, applicare il least-privilege scoping agli account di servizio e token di registro, e cercare organizzazioni di GitHub per repository denominati tpcp-docs o docs-tpcp, che il malware crea con credenziali rubate.

Cosa significano le etichette di fiducia

CloudSEK classifica le organizzazioni nel suo set di dati in base alla forza delle prove. Una corrispondenza ad alta fiducia si basa su domini aziendali identificabili, repository, credenziali o infrastrutture; una corrispondenza a media fiducia porta indicatori credibili ma più deboli. Nessuna di queste etichette è prova di un attacco riuscito, e la società sottolinea che il set di dati è l’esposizione ricostruita: apparire in esso significa che le informazioni associate all’organizzazione sono state identificate e dovrebbero essere investigate, non che la violazione sia confermata.

È necessaria una certa cautela sulla scala. I numeri di 2.500 organizzazioni e 434.000 pipeline provengono da un set di dati che CloudSEK ha ottenuto attraverso i suoi canali di intelligence e ricostruito, e la società vende la piattaforma di monitoraggio dell’esposizione, AIVigil, a cui questo studio si riferisce. Nessuno di ciò sminuisce la campagna sottostante: la compromissione di LiteLLM, il suo posto nell’operazione più ampia di TeamPCP e le classi di credenziali a rischio sono confermate dall’avviso dell’FBI e dal record dell’incidente di marzo.

CloudSEK ha pubblicato un controllo di esposizione gratuito in cui le organizzazioni possono verificare se la loro infrastruttura appare nel set di dati. La sua guida per qualsiasi corrispondenza è quella di trattare ogni credenziale che il processo interessato potrebbe leggere come potenzialmente esposta fino a quando non viene convalidata, esaminare i registri di accesso attraverso sistemi cloud, source-control, registro e cluster, e ruotare ampiamente piuttosto che solo la chiave LiteLLM o la chiave del fornitore di modelli. Per le organizzazioni che hanno eseguito le versioni interessate a marzo, la decisione di rotazione ha un orologio di cinque mesi già in funzione.