- Cisco、Samsung、AWS、Airbus U.S. Space & Defense、Thales、ロンドン証券取引所グループを含む2,500以上の組織が、LiteLLMを標的としたサプライチェーン攻撃によって認証情報を窃取されました
- LiteLLM自体が直接ハッキングされたわけではなく、ハッキンググループTeamPCPはオープンソースのセキュリティスキャナーの改ざんされたビルドを悪用して侵入しました
- 窃取された認証情報の一部は、当初の侵害からおよそ5カ月が経過した現在も有効なままであり、変更されるまで持続的なセキュリティリスクが残っていることを示しています
セキュリティ企業のCloudSEKとHudson Rockは、LiteLLMを標的としたサプライチェーン攻撃により、2,500以上の組織が認証情報を窃取されたと発表しました。
LiteLLMは、100を超える大規模言語モデルへのAPI呼び出しを単一のOpenAI互換形式に変換するオープンソースのゲートウェイです。今回の攻撃でLiteLLM自体が直接侵害されたわけではなく、ハッカーはAqua SecurityのTrivyに存在する既知の脆弱性を狙いました。
被害を受けた組織のリストには、Cisco、Samsung、Salesforce、Amazon Web Servicesをはじめ、Airbus U.S. Space & Defense、Thales Group、Deutsche Bahn、Munich Re、ロンドン証券取引所グループなど、多数の大手かつ重要なサービスプロバイダーが含まれていました。
5カ月近く経った今も懸念が残る攻撃
今回の攻撃は2026年3月24日に発生したもので、金銭目的のハッキンググループTeamPCPが主導しました。同グループは、脆弱性をスキャンするオープンソースのセキュリティツールであるTrivyを侵害しました。
改ざんされたパッケージは、その後LiteLLM側でIDを確認されないまま自動的にダウンロード・「導入」されました。この自動化プロセスによって、汚染されたバージョンの信頼済みツールがそのまま取り込まれてしまい、サーバーの管理者権限を取得したうえで情報窃取ツールがインストールされました。
この情報窃取ツールは、企業データよりもはるかに価値の高い認証情報や機密情報を窃取しました。具体的には、クラウドキー、SSHキー、Kubernetesトークン、環境変数、リポジトリおよびパッケージ公開用トークン、AIプロバイダーのキーなどが含まれます。
これらは、攻撃の規模の大きさに加え、ハッカーがエクスプロイトを実行する手間なく多くのセキュリティの「扉」を開ける「鍵」を手に入れたという点で、単発の情報漏えいよりもセキュリティ上はるかに深刻だと言えます。
CloudSEKが実施した被害規模に関する調査は、翌日Hudson Rockによっても裏付けられ、当初の攻撃からおよそ5カ月が経過した今なお未解決の問題が残っているという厳しい実態が浮き彫りになりました。
皮肉なことに、窃取された認証情報の一部は今も有効です。独立系研究者のKevin Beaumont氏は、自ら試したところ侵害されたキーの一部が依然として有効だったと述べており、これは被害を受けた組織側がすでにキーを新しいものに「ローテーション済み」だと主張していたにもかかわらず判明したものです。
CloudSEKのデータによると、2,500社以上、43万4,000件のCI/CDパイプラインが侵害を受けたとされています。一方Hudson Rockは、入手した195TBのファイルを調査したうえで、流出した資料のうち153GB分のアーカイブを公開しました。両社ともドメイン検索ツールを運用しており、各組織はオンラインで自社の被害状況を確認できます。
今回の一連の発覚を受けて、各組織が複数のミッションクリティカルな業務でAIツールを利用していることを見直すきっかけとなるのか、そしてそれが顧客データだけでなく自社の企業秘密をも危険にさらしかねないという点にまで目を向けるのか、今後の動向が注目されます。
