СреднийII Кибервойна и критическая инфраструктура21 октября 2026 г., среда
Через конвейер выпуска ИИ-шлюза LiteLLM распространили похититель учётных данных
21 октября конвейер выпуска LiteLLM был взломан. Вредоносная версия 1.107.0 провисела в PyPI 1 час 44 минуты, а в Docker — около 2,5 часа. Она содержала код, крадущий учётные данные облаков, разработчиков и ИИ-провайдеров. Это вторая атака на цепочку поставок проекта за год.
По данным BleepingComputer, злоумышленник не менял код приложения. Он добавил 3 файла в каталог библиотек Python, и они запускаются при каждом старте Python в среде. Вредоносный пакет попал в 7 дистрибутивов PyPI и 4 тега в Docker Hub и GHCR. Компании по кибербезопасности обнаружили атаку в течение 6 минут после выпуска. LiteLLM — шлюз, позволяющий подключаться к нескольким ИИ-провайдерам через единый интерфейс. У проекта около 61 800 звёзд на GitHub и 92 млн загрузок с PyPI в месяц.
Как сообщил Help Net Security 22 октября, атакующий использовал похищенные OAuth-токены GitHub CLI трёх инженеров LiteLLM. С первым он изменил конвейер и запустил выпуск, со вторым одобрил его, с третьим удалил журналы рабочих процессов. Токены были взяты из логов внутреннего развёртывания, открытого в интернет. Примерно через 4,5 часа после утечки данных злоумышленник с помощью украденных ключей AWS проверил доступ к моделям в Amazon Bedrock. Это LLMjacking — запуск моделей за счёт чужой учётной записи. На 22 октября имя исполнителя не раскрыто.
При первом взломе в марте 2026 года был похищен архив объёмом 153 ГБ. Hudson Rock связала его с 2488 корпоративными доменами, включая AWS, Samsung, Cisco и Salesforce. По данным BleepingComputer, ту атаку провела группа TeamPCP, захватив сканер Trivy, который использовался в конвейере выпуска LiteLLM. Проект называет безопасной версию 1.106.2, но подчёркивает, что одного обновления мало: во всех средах, где ставилась 1.107.0, нужно заменить все ключи.
Оценка Talay
Вывод
LiteLLM — слой, в котором компании собирают в одной точке ключи нескольких ИИ-провайдеров. Поэтому взлом означает не столько инцидент с библиотекой, сколько массовый риск для корпоративных ИИ-ключей. Обнаружение за 6 минут ограничило ущерб, но утёкшие токены могут использоваться неделями. Повторная за год атака на тот же проект показывает, что безопасность конвейеров выпуска — самое слабое звено в цепочке ИИ-инструментов.
Возможные последствия
- Стоимость корпоративного ИИНегативноНедели
Запуск моделей на украденных облачных ключах грозит пострадавшим неожиданными счетами и риском доступа к данным.
- Цепочка поставок open sourceНеопределённо1–6 месяцев
Требования к подписанным выпускам и управлению токенами в PyPI и Docker ужесточатся. Компании перейдут к использованию ИИ-библиотек с зафиксированными версиями.
Вероятные сценарии
- 1Злоупотребление токенами продолжается55 %
Утёкшие облачные и провайдерские ключи неделями используются для запуска моделей и доступа к данным.
Что отслеживать: Сообщения облачных провайдеров или ИБ-компаний о случаях LLMjacking, связанных с LiteLLM
- 2Последствия остаются небольшими30 %
Из-за короткого времени публикации и быстрого обнаружения число затронутых установок оказывается ограниченным.
Что отслеживать: Число затронутых установок в итоговом отчёте LiteLLM об инциденте
- 3Исполнитель и связи раскрыты15 %
Атаку приписывают группе TeamPCP из мартовского взлома или другому субъекту.
Что отслеживать: Привязка атаки на 1.107.0 к названной группе со стороны ИБ-компании
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Загрузки с PyPI в месяц▼ 92 млн
- Время в Docker▼ ~2,5 часа
- Время обнаружения▲ 6 минут