Ein im März 2026 entdeckter Angriff auf das offene KI-Gateway LiteLLM hat deutlich mehr Firmen getroffen als bisher bekannt. Die Sicherheitsfirma CloudSEK beziffert die Zahl betroffener Unternehmen auf über 2500 und die betroffenen CI/CD-Pipelines auf rund 434.000. Zu den identifizierten Organisationen zählen laut CloudSEK unter anderem Nvidia, Amazon Web Services, Cisco, Salesforce, der Telekommunikationskonzern Orange und der deutsche Siemens-Konzern.
Kompromittierter Scanner schleust Schadcode ins KI-Gateway
Ursprung der Angriffskette ist laut Unit 42 von Palo Alto Networks die Gruppe TeamPCP, die im März 2026 den quelloffenen Sicherheits-Scanner Trivy kompromittierte. Über ein geleaktes Automatisierungs-Token schleusten die Angreifer Schadcode in die Build-Kette von Trivy ein und erreichten darüber auch das Python-Paket des KI-Gateways LiteLLM, das Entwicklerteams zur einheitlichen Ansteuerung verschiedener Sprachmodelle einsetzen. Am vierundzwanzigsten März luden sie zwei manipulierte LiteLLM-Versionen, 1.82.7 und 1.82.8, auf den Python-Paketindex PyPI hoch.
Die Pakete blieben nur rund vierzig Minuten online, bevor der Registrierungsdienst sie sperrte – für automatisierte Build-Systeme reichte das, um sie herunterzuladen und auszuführen. Der Schadcode installierte laut dem Sicherheits-Update der LiteLLM-Maintainer eine Datei namens litellm_init.pth, die bei jedem Start von Python automatisch ausgeführt wird und dauerhaft im System verbleibt. Sie sammelte Zugangsdaten für die Cloud-Dienste AWS, GCP und Azure, SSH-Schlüssel, Repository-Tokens, Kubernetes-Secrets und API-Schlüssel für KI-Anbieter und verschickte sie verschlüsselt an eine von den Angreifern kontrollierte Domain. LiteLLM selbst wird Unternehmensangaben zufolge rund 3,4 Millionen Mal täglich heruntergeladen und dient als zentrale Schaltstelle, über die Firmen verschiedene Sprachmodelle einheitlich ansteuern – ein einzelner vergifteter Build-Schritt konnte sich dadurch rasch in viele fremde Systeme fortpflanzen. Unit 42 zufolge war Trivy nicht das einzige Ziel: Dieselbe Gruppe manipulierte im selben Zeitraum auch den Scanner KICS und stieß bei der GitHub Action trivy-action Code in 76 von 77 Versions-Tags per erzwungenem Push durch.
CloudSEK beziffert die Folgen auf über 2500 Firmen
Fünf Monate nach dem eigentlichen Vorfall hat CloudSEK am elften August eine eigene Auswertung veröffentlicht, die das Ausmaß deutlich größer zeichnet als die ursprüngliche Meldung. Die Analysten glichen geleakte Zugangsdaten mit bekannten Unternehmensdomains ab und kommen auf mehr als 2500 mutmaßlich betroffene Organisationen aus Finanzwesen, Telekommunikation, Fertigung und Verteidigung, verteilt über rund 434.000 CI/CD-Pipelines. Eine durchsuchbare Übersicht der Funde stellt die Firma öffentlich bereit. Nvidia, Amazon Web Services, Cisco, Salesforce, Orange und Siemens führt CloudSEK dabei als Treffer mit hoher Konfidenz, dazu kommen nach eigenen Angaben Dutzende weitere Konzerne aus Sektoren, in denen gestohlene Cloud- und KI-Zugänge besonders sensibel sind.
Diese Zuordnung ist unabhängig nicht verifiziert: Sie beruht auf CloudSEKs eigenem Abgleich, nicht auf Bestätigungen der genannten Unternehmen. Das FBI warnte in einer Flash-Meldung im Juli zusätzlich davor, dass bereits gestohlene Zugangsdaten weiterhin für neue Angriffe missbraucht werden könnten, unabhängig davon, ob die betroffenen Pakete längst entfernt sind. Für Sicherheitsteams bedeutet das: Ein gelöschtes Paket beendet den Vorfall nicht, solange die im März kopierten Schlüssel nirgends ausgetauscht wurden.
Maintainer raten zu sofortiger Zugangsdaten-Rotation
Nutzer des offiziellen LiteLLM-Proxy-Docker-Images blieben nach Angaben der Maintainer verschont, weil diese Verteilung Abhängigkeiten fest in einer requirements.txt verankert und nicht auf ungeprüfte PyPI-Versionen zugreift. Wer die betroffenen Versionen dagegen direkt über PyPI installiert hatte, soll laut den Empfehlungen der Maintainer sämtliche Zugangsdaten rotieren, das Dateisystem nach litellm_init.pth durchsuchen und Build-Protokolle auf den Versionszeitraum prüfen. Die Maintainer tauschten zudem die kompromittierten Konten aus, stellten neue Veröffentlichungen vorübergehend ein und brachten am dreißigsten März mit Version 1.83.0 die erste über eine neu abgesicherte Build-Kette geprüfte Fassung heraus. Der Vorfall reiht sich in eine Serie ähnlicher Angriffe auf KI-Werkzeugketten ein, etwa den Diebstahl von KI-Zugängen über gekaperte npm-Pakete, den CrowdStrike im August dokumentierte.
Offen bleibt, wie viele der 2500 von CloudSEK benannten Firmen die Warnung bereits in konkrete Schlüssel-Rotationen umgesetzt haben. Der Fall zeigt vor allem, dass ein einzelnes kompromittiertes Sicherheits-Werkzeug in offenen KI-Entwicklungsketten weit über sein eigenes Ökosystem hinaus wirken kann.
