LiteLLMサプライチェーン攻撃で盗まれた153GBに及ぶ巨大アーカイブから、AWS、Samsung、Cisco、Salesforceを含む数千の企業ドメインに関連する認証情報やその他の機密データが流出していたことが明らかになりました。
Hudson Rockによると、同社は433,909個のファイルを含むこのアーカイブを入手・分析し、118,829件のCIランナーダンプを2,488の企業ドメインに紐付けたとしています。
「私たちはこのデータを、世界的な倫理的開示活動に活用しています」と、Hudson Rockの共同創業者兼CTOであるAlon Gal氏はHelp Net Securityに語りました。「脅威アクターがこのデータを公然と武器化する前に、組織が先手を打って対応できるようにする機会だと捉えています」
LiteLLMは、開発者がさまざまなAIモデルへリクエストをルーティングするために使用するオープンソースのプロキシゲートウェイです。今回のLiteLLM侵害の発端は、人気の高いオープンソース脆弱性スキャナーであるTrivyの侵害にさかのぼります。
2026年3月19日、2025年末に登場したサイバー犯罪グループTeamPCPは、盗んだ認証情報を使って改ざん済みバージョンのTrivyを公開しました。LiteLLMのビルドパイプラインは自動的にTrivyをインストールしていたため、この汚染されたスキャナーはランナー環境への読み取りアクセス権を得ることになり、攻撃者はLiteLLMプロジェクトのPyPI公開用トークンを窃取できてしまいました。
TeamPCPはこれらのトークンを使い、3月24日にPython Package Index上で、悪意あるLiteLLMのリリース版であるバージョン1.82.7と1.82.8を公開しました。
「重要なポイントは、サプライチェーンがどのように進化し、単一の上流での侵害が数千社に同時に影響を及ぼすようになったかという点です。LiteLLMの依存関係がハッキングされたわずか約40分間の隙に、43万件を超えるインスタンスで数百万件もの機密情報が窃取されました」とGal氏は述べています。
流出した機密情報を持ち主にたどる
このデータセットには、NVIDIA、Volkswagen、Microsoft、FedEx、S&P Global、John Deere、Epic Games、Orange、TomTom、BT Group、ServiceNow、Deloitte、Siemensといった組織に関連する情報が含まれています。
公開された調査のスクリーンショットには、パイプライン実行中に取得されたAWSのシークレットアクセスキー、Salesforceのクライアントシークレット、Slackの署名用シークレット、Azureの環境変数、AIプロバイダーのAPIキーなどが写っています。
大量の社内機密情報の山（出典: Hudson Rock）
約434,000件の流出ファイルから構築された別のデータセットを基に調査を行ったCloudSEKは、影響を受ける組織の数をおよそ2,500社に上ると見積もっています。同社は、この数字はあくまで「露出」を示すものであり、確認済みの侵害を意味するものではないと強調しています。
「ちなみに、このデータが本物であることは確認済みです。複数の被害組織があります」とセキュリティ研究者のKevin Beaumont氏は述べています。「各組織にわたって、大量の機密性の高い内容が含まれています。これはAIセキュリティの不備によって引き起こされた大規模なサプライチェーン侵害です。AI自体が脅威なのではなく、AIの拙速な導入とお粗末なDevOpsセキュリティにばかりかまけている組織を、10代の若者でも軽々と出し抜けてしまうという話なのです」
「この153GBのデータベースの中から被害者を特定する作業は、独特な脅威インテリジェンス上の難題です。正確な帰属分析を行うには、表面的な情報だけでなく、実際のインフラ境界まで踏み込んで分析する必要があります」とHudson Rockは指摘しています。
ある事例では、流出したパイプラインがSiriusXMのコミッターのメールアドレスに紐付いていましたが、同じダンプ内のインフラ上の痕跡（gitlab.adswizz.comにある自己ホスト型GitLabインスタンスなど）から、実際にはSiriusXMの子会社であるAdsWizzが関係していることが判明しました。
Hudson Rockは、正しい特定には「単純なコミッターのメールアドレスではなく、確固たるインフラ上の痕跡」が必要だとしています。
流出したファイルの大部分は、明確な持ち主が判明していません。Hudson Rockによると、その中にはデータベースのパスワード、サードパーティのAPIキー、クラウドの認証情報が含まれているものの、組織を特定できる企業のメールアドレス、独自ドメイン、内部サーバー名が存在しないケースもあるといいます。
つまり、自社が影響を受けていることに気づかないまま、認証情報がこのデータセット内に流出している組織が存在する可能性があるということです。
データ流出前の対応を組織に呼びかけ
Hudson Rockは、AIプロキシインフラ、サードパーティ製のCI/CD脆弱性スキャナー、あるいは下流のAIパッケージを利用している組織に対し、環境内でLiteLLMのバージョン1.82.7および1.82.8が使われていないか監査し、LiteLLM環境からアクセス可能だった機密情報はすべて侵害済みとみなして対応するよう求めています。
また、クラウドのIAMキーやアクセストークンのローテーション、3月24日以降にさかのぼった監査ログの異常確認、不正な.pthファイルや不審なsystemdサービスの有無のチェックも推奨しています。
「どのようにこのデータを入手したかは明らかにできませんが、現時点でこのデータはどこにも流出しておらず、広く出回ってもいません。これは、侵害というものの自然な経緯として、いずれ流出してしまう前に、企業がキーやシークレットをローテーションできる貴重な機会と言えます」とGal氏は付け加えました。
これほどの規模の侵害であるにもかかわらず、一部の組織はこの調査結果が示す深刻さに見合わないほど、事態を軽視しているように見受けられます。
「これらの認証情報は3月頃のものです。影響を受けた組織の1つに話を聞いたところ、『すべてローテーション済みなので大した問題ではない』と言われました。そこで、その組織の責任ある開示ポリシーを確認したところ、認証情報を実際に試すことが許可されていたので、すべて試してみました。すると、ほぼすべてが有効なままでした。報告書を提出済みです。米国屈指の大手テクノロジー企業の1社です」とBeaumont氏は書いています。
「この規模の事態は、サイバーセキュリティ業界に求められる対応のあり方を、まったく新しい次元へと押し上げるものです」とGal氏は締めくくりました。
翻訳元: https://www.helpnetsecurity.com/2026/08/13/litellm-breach-stolen-credentials-leak/
