보안업체 CloudSEK는 8월 12일 발표한 연구에서 널리 쓰이는 LLM 게이트웨이 라이브러리 LiteLLM의 3월 침해 사고가 미친 파급 범위를 재구성했다. 추산치는 약 434,000개의 CI/CD 파이프라인으로, 2,500개가 넘는 조직과 맞닿는다.
40분
악성 버전 1.82.7과 1.82.8은 3월 24일 UTC 10시 39분부터 약 40분간 PyPI에 올라와 있었지만, CloudSEK는 해당 날짜 UTC 16시까지의 모든 설치를 의심해야 한다고 권고했다. 이 취약점은 CVE-2026-33634로 추적되며, 3월 26일 CISA의 Known Exploited Vulnerabilities 목록에 추가됐다.
이해할 만한 메커니즘
버전 1.82.8은 litellm_init.pth라는 파일을 내려받게 했다. 이 확장자를 가진 파일은 Python 인터프리터 시작 시 실행되므로, LiteLLM이 실제로 import됐는지와 무관하게 해당 환경의 모든 Python 프로세스에서 페이로드가 실행됐다. 수집된 자료는 models.litellm[.]cloud로 전송되는 과정에서 암호화됐다.
세 단계 깊이의 침투
이 공격은 Aqua Security의 Trivy 스캐너가 침해되면서 시작됐다. LiteLLM의 자체 CI 파이프라인은 침해된 Trivy를 자동 설치했고, 그 결과 LiteLLM 릴리스가 오염됐다. CloudSEK는 이를 두고 "Trivy, 그다음 빌드 시스템, 그다음 LiteLLM 릴리스: 하나의 철회되지 않은 토큰, 세 단계 깊이."라고 요약했다. 이 활동은 Google이 UNC6780으로 추적하는 TeamPCP에 귀속된다.
도달 가능했던 것
AWS, GCP, Azure의 클라우드 키, SSH 키, Kubernetes 토큰, 데이터베이스 비밀번호, LLM 제공업체 API 키, CI/CD 배포 비밀정보, 패키지 게시 자격증명이 포함된다. Nvidia, Cisco, Samsung, Siemens, FedEx, Volkswagen 등이 매핑된 조직 가운데 이름을 올렸다.
이번 연구가 아닌 것
침해 사고 자체는 5개월 전의 일이며, 이번 뉴스의 핵심은 재구성 작업이다. CloudSEK는 제시한 수치가 특정 회사가 실제로 침해됐다는 증거가 아니라 재구성된 잠재 노출을 뜻한다고 분명히 밝히고 있다. 또한 이번 결과는 리드 생성용 노출 검사 도구와 함께 공개된 벤더 연구로, 데이터셋에 대한 독립적 재현은 이뤄지지 않았다.