LiteLLM供应链攻击波及超2500家机构：CloudSEK报告约43.4万条CI/CD流水线凭证泄露

CloudSEK在8月11日发布的报告中称，其通过受害者数据集重建了2026年3月LiteLLM供应链攻击的爆炸半径：约43.4万条CI/CD流水线可能受暴露影响，与2500多家组织相关联。攻击者TeamPCP并未直接攻击LiteLLM，而是先入侵其构建流水线中未固定版本安装的开源漏洞扫描器Trivy，通过向Trivy发布标签强制推送恶意代码，窃取CI运行环境中的PyPI发布令牌，随后以LiteLLM名义向PyPI发布1.82.7和1.82.8两个携带窃密载荷的版本，恶意包存活约40分钟后被移除。 恶意载荷（谷歌威胁情报跟踪为SANDCLOCK）通过.pth文件在Python解释器启动时自动执行，无需显式导入即可触发，具备提权能力，能够从进程内存和实例元数据服务中批量窃取SSH密钥、AWS/GCP/Azure云凭证、Kubernetes服务账户令牌、数据库密码、环境变量及OpenAI、Anthropic等AI服务商API密钥，覆盖50余类机密。窃取的数据经硬编码密钥加密后外传至仿冒域名，部分失败场景下甚至直接上传到受害者自己的GitHub仓库作为发布附件。 CloudSEK点名的高置信度暴露机构包括英伟达、AWS、三星电子、Salesforce、思科、ServiceNow、西门子、标普全球、德勤、沃达丰、X公司、Zscaler、联邦快递、大众汽车、泰雷兹、伦敦证券交易所集团等。CloudSEK同时强调，'高置信度'衡量的是暴露证据强度而非机构已被攻破的证明，各机构仍需自行核验。Hudson Rock独立分析将153GB、约43.4万文件的泄露数据集归因至2488个企业域名，并披露欧洲委员会也通过Trivy初始入侵被连带攻破。 FBI于7月2日发布FLASH告警，指出与TeamPCP相关的攻击者（谷歌跟踪为UNC6780）还将投毒范围扩大到Trivy、Checkmarx KICS、Telnyx SDK等工具，并与勒索外泄网站结合施压；告警明确建议受害机构将已泄露凭证视为持续风险，尽快轮换所有CI/CD密钥与发布令牌。由于大量被转储变量不含可识别的企业标识，许多受影响机构至今仍不知情。分析人士指出，该事件凸显'一个未吊销的令牌深埋三层工具'即可引发生态级暴露，AI工具链的安全基线、固定版本与最小权限已成为企业数据合规的必修课。