LiteLLM-aanval lekt credentials van 2.500+ organisaties

Een supply-chain-aanval op LiteLLM, een open-source tool die AI-gedreven softwareontwikkeling stroomlijnt, heeft terabytes aan credentials van meer dan 2.500 organisaties blootgelegd, waaronder Microsoft, Amazon, Cisco, Samsung en Salesforce. Beveiligingsbedrijven CloudSEK en Hudson Rock maakten de inbreuk op 11 en 12 augustus 2026 bekend.

De gestolen credentials werden verzameld in een venster van 40 minuten in maart 2026, afkomstig van machines die LiteLLM-versies 1.82.7 en 1.82.8 draaiden, gedownload van de officiële Python Package Index-repository. Hudson Rock analyseerde een bestand van 195 TB en bevestigde dat ongeveer 434.000 CI/CD-pijplijnen (continuous integration/continuous delivery) credentials hadden blootgesteld.

Onderzoekers konden veel credentials vaak niet aan specifieke organisaties toeschrijven, omdat pijplijnen geen identificeerbare bedrijfsinformatie bevatten, hoewel CloudSEK en Hudson Rock een lijst met hoge betrouwbaarheid van getroffen entiteiten publiceerden. Het LiteLLM-compromis was het gevolg van een eerdere supply-chain-aanval op de vulnerability scanner Trivy, die ook KICS en de Telnyx Python SDK infecteerde.

TeamPCP, een groep die grotendeels uit tieners bestaat, eiste de verantwoordelijkheid op, en onderzoekers hebben die claim grotendeels bevestigd. Onafhankelijk beveiligingsonderzoeker Kevin Beaumont zei dat hij de legitimiteit van de gegevens met meerdere getroffen organisaties heeft bevestigd en dat de inbreuk het gevolg was van slechte AI-beveiliging en gehaaste DevOps-praktijken, niet van AI zelf als bedreiging.

De gestolen gegevens omvatten actieve databasewachtwoorden, API-sleutels van derden en cloudcredentials, waarvan er veel nog geldig zijn. CloudSEK en Hudson Rock dringen er bij alle organisaties die de gecompromitteerde LiteLLM-versies hebben gebruikt op aan om onmiddellijk alle pijplijncredentials te roteren. Hudson Rock adviseerde getroffen partijen om ervan uit te gaan dat elk geheim dat toegankelijk was voor de LiteLLM-omgeving is gecompromitteerd, cloudsleutels en Kubernetes-tokens ongeldig te maken, en logging en egress-filtering te controleren.

Trivy-ontwikkelaars roteerden een automatiseringstoken maar trokken het niet volledig in over een periode van 20 dagen, waardoor aanvallers bijna drie weken de tijd hadden om kwaadaardige code naar builds van derden te pushen, aldus CloudSEK. "Deze omvang brengt ons in een compleet nieuwe wereld wat betreft de respons die van de cybersecurity-industrie wordt vereist," zei Alon Gal, medeoprichter en CTO van Hudson Rock.