La società di sicurezza CloudSEK ha pubblicato il 12 agosto una ricerca che ricostruisce l’impatto della compromissione di LiteLLM di marzo, la libreria gateway per LLM ampiamente utilizzata. Il dato stimato: circa 434.000 pipeline CI/CD, riconducibili a più di 2.500 organizzazioni.

Quaranta minuti

Le versioni malevole 1.82.7 e 1.82.8 sono state disponibili su PyPI dalle 10:39 UTC del 24 marzo per circa 40 minuti, anche se CloudSEK raccomanda di considerare sospetta qualsiasi installazione fino alle 16:00 UTC di quel giorno. La vulnerabilità è tracciata come CVE-2026-33634 ed è stata aggiunta al catalogo Known Exploited Vulnerabilities della CISA il 26 marzo.

Il meccanismo da capire

La versione 1.82.8 ha introdotto un file chiamato litellm_init.pth. I file con questa estensione vengono eseguiti da Python all’avvio dell’interprete — quindi il payload è stato eseguito su qualsiasi processo Python nell’ambiente, indipendentemente dal fatto che LiteLLM venisse mai importato. Il materiale raccolto veniva cifrato in transito verso models.litellm[.]cloud.

Tre passaggi in profondità

La catena è iniziata con una violazione dello scanner Trivy di Aqua Security. La pipeline CI di LiteLLM ha installato automaticamente il Trivy compromesso, che a sua volta ha avvelenato la release di LiteLLM. Il riassunto di CloudSEK: "Trivy, poi il sistema di build, poi la release di LiteLLM: un token non revocato, tre passaggi in profondità." L’attività è attribuita a TeamPCP, tracciato da Google come UNC6780.

Cosa era raggiungibile

Chiavi cloud per AWS, GCP e Azure, chiavi SSH, token Kubernetes, password dei database, API key dei provider LLM, segreti di deployment CI/CD e credenziali per la pubblicazione di pacchetti. Tra le organizzazioni mappate figurano Nvidia, Cisco, Samsung, Siemens, FedEx e Volkswagen.

Ciò che questa ricerca non è

La compromissione in sé risale a cinque mesi fa; la notizia è la ricostruzione. CloudSEK precisa esplicitamente che i dati descrivono una potenziale esposizione ricostruita, non la prova che una delle aziende nominate sia stata violata o che ogni credenziale sia stata sottratta. Si tratta inoltre di una ricerca del vendor pubblicata insieme a un controllo dell’esposizione pensato per generare lead, senza una replica indipendente del dataset.