LiteLLMサプライチェーン攻撃、影響範囲は2,500組織超か — CloudSEKが調査結果を公表

AIゲートウェイ「LiteLLM」を標的としたサプライチェーン攻撃について、サイバーインテリジェンス企業のCloudSEKが2026年8月11日、影響範囲の調査結果を公表した。2,500以上の組織と約434,000本のCI/CDパイプラインが影響を受けた可能性があるという。攻撃自体は2026年3月24日に発生しており、LiteLLMチームは同日に公式のセキュリティ更新を公開していた。今回の報告は、その影響範囲を事後的に評価したものだ。

攻撃の経緯（確認されている事実）

LiteLLMは、アプリケーションとAIモデルを接続する際に広く使われるオープンソースのAIゲートウェイだ。LiteLLMの公式発表によると、2026年3月24日10:39 UTC頃、PyPI上のパッケージ「litellm v1.82.7」と「v1.82.8」が侵害され、約40分間公開された後にPyPIによって隔離・削除された。

• 侵害されたバージョン: v1.82.7（プロキシサーバーに悪意あるペイロード）、v1.82.8（litellm_init.pthと悪意あるペイロード）
• 認証情報窃取型のコードが含まれ、環境変数、SSHキー、クラウド認証情報（AWS・GCP・Azure）、Kubernetesトークン、データベースパスワードなどを収集
• 収集したデータは暗号化され、公式外のドメインへ送信する設計
• LiteLLM側は「CI/CDのセキュリティスキャンで使用していたTrivy依存関係の侵害に起因する可能性が高い」と説明
• 侵害されたパッケージは削除済み。メンテナーアカウントのローテーション、新CI/CDパイプラインの導入、v1.83.0でのクリーンな再リリースが行われた

CloudSEKによる影響範囲の報告

CloudSEKは8月11日のブログと8月12日のプレスリリースで、影響範囲の分析結果を公表した。同社は侵害された環境から得られたデータセットを再構成し、影響を受けた可能性がある組織のリストを作成している。

• 影響を受けた可能性がある組織: 2,500以上（CloudSEKの再構成データセットに基づく）
• 影響を受けた可能性があるCI/CDパイプライン: 約434,000本
• 影響対象はテクノロジー、金融、通信、サイバーセキュリティ、製造、物流など多岐にわたる
• 窃取された可能性がある情報: クラウド認証情報、リポジトリトークン、SSHキー、Kubernetesシークレット、パッケージ公開用認証情報、環境変数、AIプロバイダーキーなど

CloudSEKは、リストに載っていることが「侵害の成功やデータ窃取の証明ではない」と明言しており、該当する組織には認証情報のレビューと調査を推奨している。このため、影響範囲の数値は「影響を受けた可能性がある」という報告ベースの数字であり、実際に侵害された組織数を示すものではない点に注意が必要だ。

推奨される対応

攻撃から数カ月が経過しているものの、窃取された認証情報が悪用されるリスクは継続している。CloudSEKは、影響を受けた可能性がある組織に対して、認証情報のローテーションやログ調査を含む対応を求めている。

• v1.82.7／v1.82.8がインストールされた環境の確認（site-packages配下のlitellm_init.pthの有無など）
• 環境変数や設定ファイルに存在した認証情報の全面的なローテーション
• クラウドキー、Kubernetesサービスアカウントトークン、GitHub/GitLabのPATの失効と再発行
• 依存関係のバージョンを固定し、GitHubリリースと照合する運用

なお、LiteLLMの公式Dockerイメージ（ghcr.io/berriai/litellm）を利用していたユーザーは、依存関係が固定されており影響を受けないとLiteLLM側は説明している。

出典: LiteLLM公式ブログ「Security Update: Suspected Supply Chain Incident」、GitHub Issue #24518（LiteLLM）、CloudSEKブログ「2,500+ Companies and 434,000 CI/CD Pipelines Exposed」、CloudSEKプレスリリース（PR Newswire）（いずれも2026-08-14確認）。