LiteLLM攻撃で2500組織以上に認証情報漏洩

AFFILIATE_PRODUCTS:

Dan Goodin が Ars Technica で報じた記事に基づく

Terabytes worth of credentials, many belonging to the world’s biggest and most sensitive organizations, have been exposed in a supply-chain attack on LiteLLM, an open source tool that streamlines AI-driven software development.

The credentials were extracted during a 40-minute window in March while the victims used compromised versions of LiteLLM downloaded from the package’s official location in the Python Package Index repository.

“I’ve confirmed the data is legit by the way, multiple victim orgs,” independent security researcher Kevin Beaumont said. “It contains a significant volume of sensitive content at orgs. It’s a massive supply chain breach due to poor AI security—not because AI is the threat, but teens can run circles around orgs obsessed with rushing out AI and poor DevOps security.”

攻撃の概要と影響範囲

セキュリティ調査会社CloudSEKとHudson Rockがそれぞれ発表した情報によれば、LiteLLMのサプライチェーン攻撃によって、クラウドキー、リポジトリトークン、SSH鍵、Kubernetesシークレット、CI/CDパイプラインの認証情報、環境変数、AIプロバイダキーといった広範なデータが漏洩した。CloudSEKは、攻撃者が2,500以上の組織に不正アクセス可能になった可能性があると指摘している。

漏洩データは195TB規模のファイルに含まれており、Hudson Rockが入手後に分析した。攻撃が_active_だった時間はわずか40分間であり、その間にPython Package Indexリポジトリからダウンロードされた LiteLLMの改ざん版を実行した環境からデータが抜き取られた。影響を受けたCI/CDパイプラインの総数は434,000件に上るとされる。Microsoft、Amazon、Cisco、Samsung、Salesforceといった世界的な企業の認証情報も含まれていることが確認されている。

攻撃の連鎖と根本原因

今回の攻撃は単一のイベントではなく、より広範なサプライチェーン侵害キャンペーンの一環である。CloudSEKの報告によれば、LiteLLM自体が以前に脆弱性スキャナ「Trivy」に影響を与えたサプライチェーン攻撃にさらされた結果、不正なコードが組み込まれた。同じキャンペーンでは、KICSやTelnyx Python SDKといった他のソフトウェアパッケージも感染した。

不正コードは、感染した機器のメモリにアクセスし、その内容をスキャンして、攻撃者が管理する経由でデータを外部送信する機能を実行した。攻撃はTeamPCPという、主に10代で構成されるハッカーグループによるものとされており、複数の研究者がその主張を裏付けている。セキュリティ研究者Kevin Beaumontは、この事件を「貧弱なAIセキュリティとDevOpsセキュリティの欠如が招いた大規模なサプライチェーン侵害」と評している。

業界への示唆と今後の課題

この事件は、AI開発ツールの急速な採用がもたらすセキュリティリスクを浮き彫りにした。LiteLLMはAIモデルの統合を簡素化するオープンソースツールとして広く利用されているが、その普及が逆に攻撃の足場となった。CloudSEKは、漏洩した認証情報の多くが組織の内部インフラに深く関連しており、特定の組織の特定が困難な場合も多いと指摘している。例えば、サテライト放送事業者SiriusXMのドメインのメールアドレスが見つかっても、実際には子会社AdsWizzのインフラに関するものであったという事例がある。

攻撃は、CI/CDパイプラインというソフトウェア開発の中核部分を標的とした。434,000件ものパイプラインの認証情報が侵害されたことは、開発フロー全体の信頼性を揺るがす事態だ。攻撃者はこれらのの認証情報を悪用すれば、ソフトウェアのビルドプロセスやデプロイメントを不正に操作でき、さらに広範な攻撃を展開する可能性がある。AI開発ツールのセキュリティ対策は、従来のソフトウェア開発と同様、あるいはそれ以上に厳格でなければならない。

編集部の見解

短期的影響 今後3〜6ヶ月の間、AI開発ツールのサプライチェーンセキュリティに対する業界の対応が一気に加速する可能性が高い。特に、Python Package Index（PyPI）などのパッケージリポジトリにおける認証情報の取り扱いと依存関係の監査が強化されよう。各組織は、CI/CDパイプラインのアクセス制御とトークンの即時ローテーションを緊急に見直す必要に迫られる。攻撃者獲得した認証情報を悪用した二次攻撃が発生するリスクが高いため、影響範囲の特定と封じ込めが急務だ。 長期的視点 1〜3年スパンでは、AI開発ツールのエコシステム全体にセキュリティファーストの開発文化が浸透する可能性がある。オープンソースプロジェクトのセキュリティ監査体制の整備や、SBOM（ソフトウェア材料品目）の活用が標準化されそうだ。また、DevSecOpsにおける自動化された脆弱性検出ツールの需要がさらに高まり、セキュリティを考慮した開発フローの再設計が競争力の源泉になりうる。一方で、攻撃手法も高度化し、継続的な監視と対応能力の構築が不可欠になる。

参考

• 「Terabytes of credentials leaked in massive supply-chain attack」, by Dan Goodin — Ars Technica, 2026-08-12T21:43:21.000Z (CC BY-NC-ND)
• 元記事URL: https://arstechnica.com/security/2026/08/terabytes-of-credentials-leaked-in-massive-supply-chain-attack/