概要
複数モデルプロバイダーへの接続を担うオープンソースのAIゲートウェイ「LiteLLM」で発生した供給チェーン攻撃の全容が、新たな分析により明らかになった。2026年3月24日、悪意あるバージョン(v1.82.7およびv1.82.8)がPyPI上でわずか約40分間だけ公開されたが、この短い時間の間に自動デプロイ基盤を通じて急速に拡散し、AWS、NVIDIA、Cisco、Samsung、Salesforce、ServiceNow、Siemens、FedEx、Volkswagenなど大手企業を含む2,500近い組織のクラウド認証情報、SSH鍵、Kubernetesトークン、データベースパスワード、AIプロバイダーAPIキーなどが窃取された。セキュリティ企業CloudSEKは約434,000ファイル、Hudson Rockは153GBのアーカイブ(433,909ファイル、118,829件のCI runnerダンプ)を分析し、2,488のドメインに影響が及んだと結論づけている。ただしこれらの数値は確認された被害組織数ではなく、攻撃者が収集したログとファイルの規模を表す点には注意が必要だ。
Trivyハックとの関連
今回の攻撃はLiteLLMが直接狙われたものではない。攻撃者集団「TeamPCP」(Googleの追跡名ではUNC6780)は、まずAqua Securityが運営する脆弱性スキャナー「Trivy」を侵害し、3月19日には77個あるtrivy-actionのバージョンタグのうち76個と、setup-trivyの全7タグに悪意あるコミットを強制プッシュした。LiteLLMのCIパイプラインがこの汚染されたTrivyを自動的に取り込んだことで悪意あるコードがビルドシステムに侵入し、最終的に正規のリリースとしてPyPIに公開される結果となった。CloudSEKはこの経路を「Trivy、次にビルドシステム、そしてLiteLLMのリリース。失効しなかったトークン一つが、3つのツールを貫いた」と表現している。
技術的な詳細
侵害されたパッケージには多段階の認証情報窃取マルウェアが仕込まれていた。特にv1.82.8にはlitellm_init.pthという起動用ファイルが含まれており、Pythonインタプリタが起動時に処理する仕組みを悪用することで、LiteLLMを明示的にインポートしなくても悪意あるコードが実行される設計になっていた。この仕組みにより、パッケージが公開されていた短時間でも高い感染率を実現したとみられる。マルウェアは環境変数、AWS認証情報、Kubernetes設定を収集し、systemdサービスを通じて永続化する機能も備えていた。攻撃のタイムラインとしては、3月24日午前10時39分(UTC)に悪意あるバージョンが公開され、同日午前11時19分頃にPyPI側が隔離、3月26日にはCVE-2026-33634がCISAの既知悪用脆弱性(KEV)カタログに追加されている。
今後の対応と展望
セキュリティ企業各社は、影響を受けた可能性のある組織に対し、3月24日の監査ウィンドウ中に感染したインストールがないか確認し、LiteLLMがアクセスできた全てのシークレットを侵害済みとみなしてクラウドプラットフォーム、リポジトリ、SaaSシステム全体でローテーションすること、CIランナーの再構築、不審な.pthファイルや永続化の痕跡の調査、3月24日以降のログレビューを推奨している。FBIは「tpcp-docs」という命名パターンを持つリポジトリを侵害の指標として列挙しており、Hudson RockとCloudSEKはそれぞれ組織がドメインの影響有無を確認できるポータルを提供している。CloudSEKはAI基盤が「データ、アイデンティティ、計算資源、自律的なアクションが交差する高価値な結節点」であるとして、今後もAIインフラを狙った同種のサプライチェーン攻撃が増加する可能性を指摘している。