LiteLLM供应链漏洞波及2500家公司

时间：2026年8月12日（北京时间） 地点：印度班加罗尔（CloudSEK 总部）/ 全球范围内 2,500 家受影响组织 人物：CloudSEK 威胁情报团队；黑客组织 TeamPCP；FBI 网络部门 IC3 事件详情： CloudSEK 于 2026 年 8 月 11 日发布最新研究报告，揭示 3 月 24 日 LiteLLM 供应链攻击实际波及 2,500 家组织与 434,000 条 CI/CD 管线。受影响企业涵盖 NVIDIA、三星电子、Cisco Systems、Siemens、S&P Global、ServiceNow、Deloitte、Vodafone、X Corp、Zscaler、FedEx、Volkswagen、Thales、伦敦证券交易所集团等。 攻击链起源并非 LiteLLM 代码本身，而是其上游开源安全扫描工具 Trivy。一个 Trivy 的自动化令牌被轮换但未彻底撤销，攻击者借此在约 20 天窗口内强制推送恶意代码至 Trivy 的发布版本标签。LiteLLM 构建管线以非固定版本方式安装 Trivy，导致被投毒的扫描器直接流入构建产物，最终发布出含后门的 1.82.7 与 1.82.8 版本至 PyPI，仅在线 40 分钟即被移除。 恶意版本借助 Python 的 .pth 文件机制实现"Python 解释器启动即执行"，无需 import LiteLLM 即可触发，绕过安装期脚本防护。1.82.8 内置 FBI 命名为 SANDCLOCK 的凭据窃取器，可在 Linux 上提权至 root，扫荡 SSH 密钥、AWS / Google Cloud / Azure 访问密钥、Kubernetes 服务账号令牌、环境变量与 CI/CD 密钥，并利用 runner 已有权限从云实例元数据服务直接获取云密钥。 对 AI 构建而言，被窃数据直接包含 LLM API 密钥与网关配置——相当于受害组织整套 AI 栈的访问权限。CloudSEK 还发现部分受害者的 GitHub 账号被攻击者用来创建公开仓库，并将窃取的素材作为 release asset 上传，等同于在自家平台公开发布机密。 背景： LiteLLM 是连接 100+ 大模型 API 的开源统一网关，月下载量近 9,700 万次，GitHub 星标超 4 万。3 月 24 日的攻击中 TeamPCP 上传被后门化的 1.82.7 与 1.82.8，PyPI 上线窗口仅约 40 分钟，但自动 CI/CD 流水线在特权模式下无审查地安装依赖，使污染包以机器速度进入企业构建系统。 FBI 在 7 月 2 日发布的 FLASH 通告确认 TeamPCP 同时投毒了 Trivy、Checkmarx KICS、LiteLLM 与 Telnyx Python SDK 四款工具，覆盖企业流水线、云基础设施与安全工作流，并配合勒索——将受害组织列在公开泄露网站上威胁披露数据。 影响： 事件暴露三层系统性问题：1) CI/CD 流水线成为攻击放大器，依赖自动安装使恶意包扩散速度远超人工审查；2) 单一未撤销令牌经三层工具放大即触及 43.4 万条管线；3) PyPI 下架恶意包不等于事件终止——所有在窗口期被复制的凭据在主动轮换前持续有效，对 3 月运行过受影响版本的组织而言，轮换时钟已跑满五个月。 CloudSEK 推出免费 exposure checker 供组织自查，给出的指导原则是"宁可全量轮换，也不要只轮换 LiteLLM 或模型提供商的密钥"。FBI 的建议与此一致：将 GitHub Actions 固定到已验证 commit 哈希而非浮动版本标签、对服务账号与注册表令牌实施最小权限、定期搜索组织内名为 tpcp-docs 或 docs-tpcp 的可疑仓库。 总结： CloudSEK 受害数据集首次量化了 3 月 LiteLLM 供应链攻击的真实波及面：2,500 家全球组织、434,000 条 CI/CD 管线，触及英伟达、三星、思科、伦敦证交所等关键基础设施。事件揭示"未撤销令牌 → 工具链污染 → AI 凭据全栈泄露"的完整攻击链，再次表明 AI 基础设施本身已是首要攻击目标。对所有 3 月份运行过 LiteLLM 1.82.7 / 1.82.8 的组织而言，全面凭据轮换与 GitHub Actions 固定 commit 已不再是建议项，而是必须项。 参考来源： - Unite.AI 报道：https://www.unite.ai/cloudsek-links-march-litellm-supply-chain-breach-to-2500-organizations/ - LiteLLM 官方 Issue #24518：https://github.com/BerriAI/litellm/issues/24518 - FBI IC3 FLASH 通告（2026-07-02）：https://www.ic3.gov/CSA/2026/260702.pdf - CSDN 技术分析（.pth 文件滥用）：https://blog.csdn.net/weixin_33762130/article/details/93922432 - CSDN 技术分析（Kubernetes 横向扩散）：https://blog.csdn.net/ClouderaHadoop/article/details/159471704 - Hacker News 讨论：https://news.ycombinator.com/item?id=49255598