Attacco a LiteLLM ruba credenziali a 2.500+ aziende

Un attacco alla supply chain di LiteLLM, uno strumento open source che semplifica lo sviluppo software basato sull'IA, ha esposto terabyte di credenziali appartenenti a più di 2.500 organizzazioni, tra cui Microsoft, Amazon, Cisco, Samsung e Salesforce. Le società di sicurezza CloudSEK e Hudson Rock hanno reso nota la violazione l'11 e il 12 agosto 2026.

Le credenziali rubate sono state raccolte in una finestra di 40 minuti nel marzo 2026 da macchine che eseguivano le versioni 1.82.7 e 1.82.8 di LiteLLM, scaricate dal repository ufficiale Python Package Index. Hudson Rock ha analizzato un file da 195 TB e ha confermato che circa 434.000 pipeline software CI/CD (integrazione continua/consegna continua) avevano credenziali esposte.

Spesso i ricercatori non sono riusciti ad attribuire molte credenziali a organizzazioni specifiche perché le pipeline mancano di informazioni identificative dell'azienda, sebbene CloudSEK e Hudson Rock abbiano pubblicato un elenco ad alta confidenza delle entità colpite. Il compromesso di LiteLLM è derivato da un precedente attacco alla supply chain allo scanner di vulnerabilità Trivy, che ha infettato anche KICS e Telnyx Python SDK.

TeamPCP, un gruppo composto in gran parte da adolescenti, ha rivendicato la responsabilità, e i ricercatori hanno in gran parte corroborato tale affermazione. Il ricercatore di sicurezza indipendente Kevin Beaumont ha dichiarato di aver confermato la legittimità dei dati con diverse organizzazioni vittime e che la violazione è derivata da una scarsa sicurezza dell'IA e da pratiche DevOps affrettate, piuttosto che dall'IA stessa come minaccia.

I dati rubati includono password di database attive, chiavi API di terze parti e credenziali cloud, molte delle quali ancora valide. CloudSEK e Hudson Rock esortano tutte le organizzazioni che hanno utilizzato le versioni compromesse di LiteLLM a ruotare immediatamente tutte le credenziali delle pipeline. Hudson Rock ha consigliato alle parti interessate di considerare compromesso qualsiasi segreto accessibile all'ambiente LiteLLM, invalidare le chiavi cloud e i token Kubernetes, e controllare i log e il filtraggio del traffico in uscita.

Gli sviluppatori di Trivy hanno ruotato ma non sono riusciti a revocare completamente un token di automazione per un periodo di 20 giorni, dando agli attaccanti quasi tre settimane per spingere codice malevolo a build di terze parti, ha detto CloudSEK. "Questa portata ci spinge in un mondo completamente nuovo per quanto riguarda il tipo di risposta richiesta all'industria della cybersecurity", ha detto Alon Gal, co-fondatore e chief technology officer di Hudson Rock.