Die LiteLLM-Lieferkettenlücke: 153 GB Anmeldedaten bei über 2.500 Organisationen geleakt

Ein 40-Minuten-Fenster. Das war alles.

Am 24. März 2026 lagen zwei vergiftete Versionen von LiteLLM — dem massiv populären Open-KI-Gateway — weniger als eine Stunde auf PyPI. In diesem kleinen Fenster fegte die Malware stillschweigend durch den Speicher, erntete jedes erreichbare Geheimnis und exfiltrierte die Beute an einen von Angreifern kontrollierten Server. Monate später ist ein 153-GB-Archiv mit den gestohlenen Daten aufgetaucht, und der Umfang ist verblüffend: AWS, Samsung, Cisco, NVIDIA, Salesforce, Siemens, Deloitte, FedEx, Volkswagen, Epic Games und über 2.480 weitere Organisationen hatten ihre Anmeldedaten exponiert.

Dies ist die größte KI-Infrastruktur-Lieferkettenlücke 2026. Und die Anmeldedaten funktionieren immer noch.

Was ist LiteLLM?

LiteLLM ist eine Open-Source-Python-Bibliothek, die als einheitliches Gateway zwischen Anwendungen und großen Sprachmodell-Anbietern dient. Anstatt benutzerdefinierte Integrationen für OpenAI, Anthropic, Google und Dutzende anderer Anbieter zu schreiben, integrieren Entwickler LiteLLM in ihren Stack und erhalten eine einheitliche Schnittstelle. Es wird täglich tausende Male in CI/CD-Pipelines, Entwicklungsumgebungen und Produktionssystemen installiert.

Diese Allgegenwärtigkeit ist genau das, was es zu einem so verheerenden Angriffsvektor machte.

Wie der Angriff geschah

Der LiteLLM-Kompromiss war Teil einer breiteren Lieferketten-Kampagne, orchestriert von TeamPCP — einer losen, aber äußerst fähigen Bedrohungsgruppe, die größtenteils aus Teenagern besteht, laut Sicherheitsforschern. Google verfolgt sie als UNC6780.

Ihr Spielbuch war elegant in seiner Einfachheit:

1. Das Veröffentlichungs-Token kompromittieren. Angreifer erlangten eine PyPI-Veröffentlichungsanmeldeinformation für LiteLLM, wahrscheinlich durch den früheren Trivy-Lieferkettenbreach (CVE-2026-33634), der ihnen Force-Push-Zugang zu mehreren Repositories gab.

2. Vergiftete Pakete pushen. Am 24. März erschienen Versionen 1.82.7 und 1.82.8 auf PyPI. Sie enthielten eine Datei namens litellm_init.pth — einen Python-Start-Hook, der automatisch ausgeführt wird, wenn der Python-Interpreter initialisiert wird, unabhängig davon, ob Sie LiteLLM explizit importieren oder nicht.

3. Alles ernten. Die Malware fegte den Arbeitsspeicher und die Konfigurationen der laufenden Umgebung nach SSH-Schlüsseln, AWS/GCP/Azure-Anmeldeinformationen, Kubernetes-Tokens, Datenbankpasswörtern, .env-Dateien, LLM-API-Schlüsseln (einschließlich OPENAI_API_KEY und ANTHROPIC_API_KEY) und Gateway-Konfigurationen ab.

4. Exfiltrieren und verschwinden. Die Daten wurden verschlüsselt und an models.litellm[.]cloud gesendet — eine von Angreifern kontrollierte Domain ohne Bezug zum legitimen Projekt. PyPI stellte die Pakete nach etwa 40 Minuten unter Quarantäne.

Der .pth-Dateitrick ist besonders tückisch. Python verarbeitet diese Dateien beim Interpreter-Start, was bedeutet, dass der bösartige Code in jedem Python-Prozess der betroffenen Umgebung lief — nicht nur in LiteLLM-Sitzungen. Eine einzige kompromittierte CI-Pipeline könnte jedes für diesen Runner zugängliche Geheimnis lecken.

Der Explosionsradius

CloudSEK und Hudson Rock erhielten und analysierten unabhängig voneinander ein 153-GB-RAR-Archiv mit 433.909 Dateien. Die Analyse ordnete 118.829 CI-Runner-Dumps 2.488 betroffenen Unternehmensdomänen zu, was 434.000 CI/CD-Pipelines betraf.

Die Liste der Hochkonfidenz-Exponierung liest sich wie ein Fortune-500-Verzeichnis:

• Technologie: AWS, NVIDIA, Cisco, Samsung, Salesforce, ServiceNow, Zscaler, NGINX
• Unternehmen: Siemens, S&P Global, Deloitte, Thomson Reuters, Munich Re
• Industrie: Airbus, John Deere, FedEx, Volkswagen, Deutsche Bahn
• Finanzen: London Stock Exchange Group, Krungthai Bank
• Medien & Unterhaltung: Epic Games, X Corp, SiriusXM
• Telekommunikation: Vodafone, BT Group, Orange
• Andere: Philips, HP, Thales, Carl Zeiss, Regeneron, Kroger

Der unabhängige Sicherheitsforscher Kevin Beaumont bestätigte, dass die Daten legitim sind, und testete Anmeldedaten aus dem Dump Monate nach dem Angriff. Das Ergebnis? Fast alle funktionierten noch. Eines der größten US-Technologieunternehmen hatte ihm versichert, alle betroffenen Anmeldedaten rotiert zu haben. Das hatten sie nicht.

Warum das für KI-Infrastruktur wichtig ist

Dieser Breach legt einen grundlegenden blinden Fleck offen, wie Organisationen KI-Werkzeuge einführen:

KI-Gateways sitzen an der höchstprivilegiertesten Kreuzung moderner Stacks. Sie berühren gleichzeitig Daten, Identität, Compute und autonome Aktion. Sie halten API-Schlüssel für jeden Modellanbieter, verbinden sich mit Cloud-Infrastruktur und laufen oft mit breiten IAM-Berechtigungen. Ein einzelnes kompromittiertes Gateway leckt nicht nur ein Geheimnis — es leckt alle.

Open-Source-KI-Abhängigkeiten multiplizieren Angriffsflächen. LiteLLM kann als transitive Abhängigkeit von Agent-Frameworks, Orchestrierungstools oder CI/CD-Skripten hereingezogen werden, die es nie explizit gewählt haben. Wenn etwas auf Ihrem Host es installiert hat, sind Sie im Scope — unabhängig davon, ob Ihr Team es weiß oder nicht.

Die Speed-to-Production-Kultur rund um KI übertrifft die Sicherheit. Wie Beaumont es ausdrückte: "Es ist ein massiver Lieferkettenbreach aufgrund schlechter KI-Sicherheit — nicht weil KI die Bedrohung ist, sondern weil Teenager Organisationen überholen können, die besessen davon sind, KI schnell herauszubringen und schlechte DevOps-Sicherheit haben."

Das FBI äußert sich

Im Juli 2026 gab das FBI die Beratung FLASH-20260702-01 heraus und warnte, dass TeamPCP-Verbündete gestohlene Anmeldedaten lange nach dem ursprünglichen Kompromiss wahrscheinlich bewaffnen werden. Das Büro forderte Organisationen auf, CI/CD-Geheimnisse, Veröffentlichungs-Token und alle Cloud-Anmeldeinformationen zu rotieren, die während des Expositionsfensters zugänglich waren.

Die Beratung hob besonders den Wechsel von langlebigen Tokens zu temporären Anmeldeinformationen hervor — ein Schritt, der den Explosionsradius dieses Breachs drastisch begrenzt hätte.

Was Sie jetzt tun sollten

Wenn Ihre Organisation LiteLLM verwendet — oder eine KI-Infrastruktur, die davon abhängt — hier ist der Spielplan:

1. Suchen Sie nach kompromittierten Versionen. Durchsuchen Sie Ihre Umgebung nach LiteLLM-Versionen 1.82.7 und 1.82.8. Jede Installation am 24. März 2026 (bis 16:00 UTC) sollte als kompromittiert behandelt werden.

2. Rotieren Sie aggressiv. Rotieren Sie nicht nur den LiteLLM- oder Modellanbieter-Schlüssel. Gehen Sie davon aus, dass jedes Geheimnis, das für den betroffenen Prozess zugänglich ist, kompromittiert ist: AWS/GCP/Azure-IAM-Schlüssel, Kubernetes-Service-Konto-Tokens, GitLab/GitHub-PATs, Datenbankpasswörter, SSH-Schlüssel.

3. Auditieren Sie Persistenz. Suchen Sie nach unerwarteten Cron-Jobs, Systemd-Diensten, Reverse-SSH-Verbindungen oder nicht autorisierten Push-Events in Ihren Repositories.

4. Implementieren Sie Netzwerk-Egress-Filterung. Beschränken Sie ausgehenden Traffic von CI/CD-Runnern, um Datenexfiltration zu verhindern, selbst wenn ein Paket kompromittiert ist.

5. Wechseln Sie zu kurzlebigen Tokens. Ersetzen Sie langlebige API-Schlüssel und Veröffentlichungs-Token durch temporäre Anmeldeinformationen (OIDC-basierte Federation, kurzlebige PATs, ephemere Runner).

6. Pinnen Sie Ihre Abhängigkeiten. Verwenden Sie Lockfiles und überprüfen Sie Paketintegritäts-Hashes. Lassen Sie nicht zu, dass unpinned transitive Abhängigkeiten vergiftete Pakete hereinschleusen.

Wichtige Erkenntnisse

• 40 Minuten Exposition im März führten dazu, dass Anmeldedaten von über 2.500 Organisationen in einem 153-GB-Archiv geleakt wurden
• Die Malware verwendete einen .pth-Start-Hook — er lief bei jeder Python-Initialisierung, auch ohne LiteLLM-Import
• 434.000 CI/CD-Pipelines hatten ihre Anmeldedaten geerntet; viele sind Monate später noch gültig
• Die Angreifer (TeamPCP / UNC6780) erlangten Zugang durch eine unvollständige Credential-Rotation im verwandten Trivy-Breach
• KI-Infrastruktur sitzt an der Kreuzung von Daten, Identität und Compute — was sie zum wertvollsten Ziel in modernen Lieferketten macht
• Das FBI warnt, dass gestohlene Anmeldedaten weiterhin bewaffnet werden; Organisationen müssen sofort rotieren und zu kurzlebigen Tokens wechseln

Der LiteLLM-Breach ist nicht nur die Geschichte eines kompromittierten Pakets. Es ist eine Vorschau darauf, wie sich Lieferkettenangriffe entwickeln werden, während KI-Werkzeuge zum Bindegewebe der Unternehmenssoftware werden. Die Frage ist nicht, ob Ihre Organisation mit so etwas konfrontiert wird — sondern ob Sie es in 40 Minuten erwischen oder Monate später in einem öffentigen Archiv entdecken.