LiteLLM-Angriff legt Zugangsdaten von 2.500+ Organisationen offen

Ein Angriff auf die Lieferkette von LiteLLM, einem Open-Source-Tool zur Optimierung KI-gestützter Softwareentwicklung, legte Terabytes an Zugangsdaten von mehr als 2.500 Organisationen offen, darunter Microsoft, Amazon, Cisco, Samsung und Salesforce. Die Sicherheitsfirmen CloudSEK und Hudson Rock meldeten den Vorfall am 11. und 12. August 2026.

Die gestohlenen Zugangsdaten wurden in einem 40-minütigen Zeitfenster im März 2026 von Maschinen erbeutet, die die LiteLLM-Versionen 1.82.7 und 1.82.8 aus dem offiziellen Python-Package-Index-Repository installiert hatten. Hudson Rock analysierte eine 195 TB große Datei und bestätigte, dass bei rund 434.000 CI/CD-Pipelines (Continuous Integration/Continuous Delivery) Zugangsdaten offengelegt wurden.

Den Forschern gelang es oft nicht, viele Zugangsdaten bestimmten Organisationen zuzuordnen, da Pipelines keine identifizierbaren Unternehmensinformationen enthalten. CloudSEK und Hudson Rock veröffentlichten jedoch eine Liste mit hoher Konfidenz der betroffenen Einheiten. Die Kompromittierung von LiteLLM geht auf einen früheren Angriff auf die Lieferkette des Schwachstellenscanners Trivy zurück, der auch KICS und das Telnyx-Python-SDK infizierte.

Die Gruppe TeamPCP, die überwiegend aus Teenagern besteht, übernahm die Verantwortung, und die Forscher bestätigten diesen Anspruch weitgehend. Der unabhängige Sicherheitsforscher Kevin Beaumont erklärte, er habe die Echtheit der Daten mit mehreren betroffenen Organisationen bestätigt. Der Vorfall sei auf schlechte KI-Sicherheit und überhastete DevOps-Praktiken zurückzuführen, nicht auf KI selbst als Bedrohung.

Die gestohlenen Daten umfassen aktive Datenbankpasswörter, API-Schlüssel von Drittanbietern und Cloud-Zugangsdaten, von denen viele noch gültig sind. CloudSEK und Hudson Rock fordern alle Organisationen, die die kompromittierten LiteLLM-Versionen verwendet haben, dringend auf, alle Pipeline-Zugangsdaten sofort zu rotieren. Hudson Rock riet Betroffenen, davon auszugehen, dass jedes Geheimnis, das in der LiteLLM-Umgebung zugänglich war, kompromittiert ist, Cloud-Schlüssel und Kubernetes-Token zu invalidieren sowie Protokollierung und Egress-Filterung zu überprüfen.

Die Trivy-Entwickler rotierten ein Automatisierungstoken, widerriefen es jedoch über einen Zeitraum von 20 Tagen nicht vollständig, sodass Angreifer fast drei Wochen Zeit hatten, bösartigen Code in Builds Dritter einzuschleusen, so CloudSEK. „Dieses Ausmaß bringt uns in eine völlig neue Welt, was die Art der Reaktion betrifft, die von der Cybersicherheitsbranche gefordert ist“, sagte Alon Gal, Mitbegründer und Chief Technology Officer von Hudson Rock.