L’entreprise de sécurité CloudSEK a publié le 12 août une recherche reconstituant l’ampleur de la compromission de LiteLLM en mars, cette bibliothèque passerelle LLM largement utilisée. Son estimation : environ 434 000 pipelines CI/CD, correspondant à plus de 2 500 organisations.

Quarante minutes

Les versions malveillantes 1.82.7 et 1.82.8 ont été en ligne sur PyPI à partir de 10 h 39 UTC le 24 mars pendant environ 40 minutes, même si CloudSEK recommande de considérer comme suspecte toute installation jusqu’à 16 h 00 UTC ce jour-là. La vulnérabilité est suivie sous la référence CVE-2026-33634 et a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA le 26 mars.

Le mécanisme à comprendre

La version 1.82.8 a déposé un fichier nommé litellm_init.pth. Les fichiers portant cette extension sont exécutés par Python au démarrage de l’interpréteur — le code malveillant s’exécutait donc sur tout processus Python de l’environnement, que LiteLLM ait été importé ou non. Les éléments collectés étaient chiffrés en transit vers models.litellm[.]cloud.

Trois outils en profondeur

La chaîne a commencé par une intrusion dans le scanner Trivy d’Aqua Security. Le pipeline CI de LiteLLM installait automatiquement le Trivy compromis, qui a ensuite empoisonné la publication de LiteLLM. Résumé de CloudSEK : « Trivy, puis le système de build, puis la publication de LiteLLM : un seul jeton non révoqué, trois outils en profondeur. » L’activité est attribuée à TeamPCP, suivie par Google sous le nom UNC6780.

Ce qui était accessible

Clés cloud pour AWS, GCP et Azure, clés SSH, jetons Kubernetes, mots de passe de bases de données, clés API de fournisseurs de LLM, secrets de déploiement CI/CD et identifiants de publication de paquets. Nvidia, Cisco, Samsung, Siemens, FedEx et Volkswagen figurent parmi les organisations cartographiées.

Ce que cette recherche n’est pas

La compromission elle-même remonte à cinq mois ; l’information nouvelle réside dans la reconstitution. CloudSEK précise explicitement que les chiffres décrivent une exposition potentielle reconstituée, et non la preuve qu’une entreprise nommée a été compromise ou que chaque identifiant a été volé. Il s’agit aussi d’une recherche de l’éditeur, publiée en parallèle d’un outil de vérification d’exposition générateur de leads, sans réplication indépendante du jeu de données.