La notizia in sintesi
- CloudSEK segnala una potenziale esposizione per oltre 2.500 aziende.
- L’attacco ha sfruttato la compromissione dello scanner Trivy.
- Le versioni LiteLLM 1.82.7 e 1.82.8 contenevano codice malevolo.
- L’FBI avverte che le credenziali sottratte possono essere ancora sfruttate.
(Riassunto generato con AI)
LiteLLM e l’esposizione globale delle pipeline AI
LiteLLM, strumento open source impiegato per gestire infrastrutture di modelli linguistici, è al centro di una violazione della catena di approvvigionamento AI che, secondo l’indagine di CloudSEK, ha potenzialmente esposto oltre 2.500 aziende e 434.000 pipeline CI/CD nel mondo. L’attacco, attribuito al gruppo Team PCP e avvenuto nel marzo 2026, è passato attraverso lo scanner di sicurezza Trivy, integrato nella pipeline di build del progetto. Il caso è rilevante perché mostra come una dipendenza compromessa possa propagare codice malevolo nei processi automatizzati, raggiungendo cloud, repository e ambienti AI aziendali.
Il report distingue tra esposizione potenziale e compromissione accertata: la presenza nel dataset non prova che ogni organizzazione sia stata violata. Tuttavia, per le imprese individuate con corrispondenza ad alta confidenza, la verifica interna di log, pipeline e credenziali diventa una misura necessaria. Tra i soggetti citati nel dataset figurano NVIDIA, Amazon Web Services, Cisco Systems, Salesforce, Siemens, X Corp e Orange S.A..
Come è avvenuta la compromissione della supply chain
Le release malevole 1.82.7 e 1.82.8 di LiteLLM sono state pubblicate su PyPI durante una finestra di circa 40 minuti, sufficiente perché sistemi di build automatizzati scaricassero i pacchetti. Il codice includeva un file .pth eseguito all’avvio dell’interprete Python: l’attivazione del payload non richiedeva quindi l’importazione esplicita di LiteLLM. Questo meccanismo ha reso più difficile intercettare l’attività attraverso i controlli ordinari sulle dipendenze.
Alla base della catena di eventi, secondo CloudSEK, vi era un token di automazione compromesso, ruotato ma non completamente revocato. Per circa 20 giorni l’attaccante avrebbe potuto forzare aggiornamenti malevoli sui tag pubblicati di Trivy; la pipeline CI di LiteLLM installava infatti lo scanner tramite apt senza fissarne la versione. Lo scanner alterato è confluito nella build e ha prodotto le release avvelenate, trasformando una credenziale non revocata in un rischio esteso all’ecosistema.
Lo stealer attribuito a Team PCP avrebbe ottenuto privilegi root sui runner CI interessati, raccogliendo chiavi AWS, GCP e Azure, token Kubernetes, chiavi SSH, token dei repository, file .env, variabili d’ambiente e chiavi API dei provider AI. Il valore dell’operazione non riguarda solo il pacchetto colpito: queste credenziali possono aprire accessi a servizi cloud, controllo del codice, piattaforme SaaS e gateway dell’intelligenza artificiale.
Credenziali e controlli: perché il rischio resta aperto
La rimozione dei pacchetti da PyPI non elimina le conseguenze della violazione, perché le credenziali eventualmente copiate possono restare utilizzabili per settimane o mesi. L’allerta FLASH dell’FBI di luglio 2026, identificata come FLASH-20260702-01, segnala che gli attori legati alla campagna potrebbero sfruttare gli accessi sottratti anche dopo l’intrusione iniziale.
La risposta indicata dalla fonte richiede una rotazione estensiva delle credenziali esposte, l’isolamento dei sistemi interessati, la ricostruzione degli ambienti da fonti pulite e il monitoraggio runtime delle pipeline CI/CD. L’episodio evidenzia inoltre un punto operativo: gateway AI, server MCP, database vettoriali e flussi agentici stanno diventando nodi strategici e devono rientrare nei controlli di sicurezza dell’organizzazione.
FAQ
Quante aziende risultano potenzialmente esposte?
Sì, il dataset ricostruito da CloudSEK indica oltre 2.500 aziende potenzialmente coinvolte e 434.000 pipeline CI/CD potenzialmente esposte.
Quali versioni di LiteLLM erano malevole?
Sì, le versioni indicate sono LiteLLM 1.82.7 e 1.82.8, pubblicate su PyPI durante una finestra di esposizione di circa 40 minuti.
Perché Trivy è centrale nell’incidente?
Sì, Trivy era installato dalla pipeline CI di LiteLLM senza versione fissata, permettendo allo scanner compromesso di influire sulla build.
Quali credenziali devono essere verificate?
Sì, vanno considerate potenzialmente esposte chiavi cloud, token repository, chiavi SSH, secret Kubernetes, variabili d’ambiente e chiavi dei provider AI.
Come è stata verificata questa ricostruzione?
Sì, il contenuto nasce da un’analisi approfondita e da una verifica incrociata della nostra Redazione su numerose fonti, tra cui The Cryptonomist.
