LiteLLMサプライチェーン攻撃、2500以上の組織で認証情報流出

AI駆動のソフトウェア開発を効率化するオープンソースツール「LiteLLM」へのサプライチェーン攻撃により、Microsoft、Amazon、Cisco、Samsung、Salesforceなど2500以上の組織に属する認証情報がテラバイト単位で流出した。セキュリティ企業のCloudSEKとHudson Rockが2026年8月11日と12日にこの侵害を公表した。

盗まれた認証情報は、2026年3月の40分間の間に、公式のPython Package IndexリポジトリからダウンロードされたLiteLLMバージョン1.82.7および1.82.8を実行しているマシンから収集された。Hudson Rockは195TBのファイルを分析し、約43万4000のCI/CD（継続的インテグレーション/継続的デリバリー）ソフトウェアパイプラインで認証情報が流出したことを確認した。

研究者らは、パイプラインに企業を特定できる情報が含まれていないことが多いため、多くの認証情報を特定の組織に帰属させることができなかったが、CloudSEKとHudson Rockは影響を受けた組織の信頼性の高いリストを公開した。LiteLLMの侵害は、脆弱性スキャナ「Trivy」への以前のサプライチェーン攻撃に起因しており、これによりKICSとTelnyx Python SDKも感染した。

主に10代で構成されるグループ「TeamPCP」が犯行を主張し、研究者らはその主張をほぼ裏付けた。独立系セキュリティ研究者のKevin Beaumont氏は、複数の被害組織とデータの正当性を確認し、この侵害はAI自体が脅威であるというよりも、AIセキュリティの不備と性急なDevOps慣行に起因すると述べた。

流出したデータには、アクティブなデータベースパスワード、サードパーティのAPIキー、クラウド認証情報が含まれており、その多くは現在も有効である。CloudSEKとHudson Rockは、侵害を受けたLiteLLMバージョンを使用したすべての組織に対し、直ちにすべてのパイプライン認証情報をローテーションするよう求めている。Hudson Rockは、影響を受けた関係者に対し、LiteLLM環境にアクセスできる秘密情報はすべて侵害されたと想定し、クラウドキーとKubernetesトークンを無効化し、ログ記録とイグレスフィルタリングを監査するよう助言した。

CloudSEKによると、Trivyの開発者は自動化トークンをローテーションしたが、20日間にわたって完全に失効させず、攻撃者がほぼ3週間にわたって悪意のあるコードをサードパーティのビルドにプッシュする機会を与えたという。Hudson Rockの共同創業者兼最高技術責任者であるAlon Gal氏は、「この規模は、サイバーセキュリティ業界に求められる対応の種類に関して、まったく新しい世界に私たちを押し込むものです」と述べた。