LiteLLM ist ein Open-Source-Gateway, das Anwendungen mit mehreren Modellanbietern verbindet. Das Projekt identifizierte die Versionen 1.82.7 und 1.82.8 als kompromittiert. Nach Angaben von LiteLLM waren sie am 24. März ab 10:39 UTC etwa 40 Minuten lang auf PyPI verfügbar, bevor PyPI sie unter Quarantäne stellte. Nutzer sollen jedoch jede Installation an diesem Tag bis 16:00 UTC als verdächtig behandeln. The Hacker News bestätigte am 12. August über PyPI, dass keine der beiden Versionen mehr in der Veröffentlichungshistorie auftaucht; verfügbar bleiben 1.82.6 und 1.83.0.
Die manipulierten Pakete sollten Umgebungsvariablen, SSH-Schlüssel, Cloud-Zugangsdaten, Kubernetes-Tokens und Datenbank-Passwörter sammeln, die gestohlenen Daten verschlüsseln und an models.litellm[.]cloud senden, eine von den Angreifern kontrollierte Domain ohne Bezug zum Projekt. Unit 42 dokumentierte zudem, dass die Schadfunktion Umgebungsvariablen mit Modell-API-Schlüsseln ausliest, darunter OPENAI_API_KEY und ANTHROPIC_API_KEY. Besonders brisant war laut Quelle die Datei litellm_init.pth in Version 1.82.8: Python verarbeitet solche Dateien beim Start des Interpreters, sodass der Code bei jedem Python-Prozess in der betroffenen Umgebung ausgeführt wurde, auch ohne einen direkten Import von LiteLLM.
CloudSEK beziffert den ausgewerteten Datensatz auf rund 434.000 erfasste Dateien. Daraus leite das Unternehmen eine mögliche Betroffenheit von mehr als 2.500 Organisationen ab. Zugleich betont CloudSEK, dass diese Zahl keine bestätigte Opferzahl ist. Der Datensatz bestehe aus erbeuteten Dateien und Exfiltrationsprotokollen; die Organisationen selbst hätten diese Daten nicht bereitgestellt. Für eine Zuordnung mit hoher Sicherheit verlangt CloudSEK nach eigenen Angaben Identitätssignale aus der kompromittierten CI-Runner-Umgebung, vor allem Host-Identität und legitime Committer-Domains; außerdem müsse die eigene Domain der Organisation im Material auftauchen. Repository-Namensräume reichten nur für eine Einstufung mit mittlerer Sicherheit. Genannt werden unter anderem NVIDIA, Cisco, Deloitte, Volkswagen, FedEx, Siemens und X Corp. Daraus folge jedoch nicht, dass gestohlene Zugangsdaten auch genutzt wurden.
Der Hintergrund ist die TeamPCP-Lieferkettenkampagne im Umfeld von Aqua Securitys Trivy-Scanner. Aqua erklärte, Angreifer hätten nach einer unvollständigen Rotation von Zugangsdaten den Zugriff behalten und am 19. März bösartige Commits in 76 von 77 Versions-Tags von trivy-action sowie in alle sieben Tags von setup-trivy gedrückt und zudem eine manipulierte Trivy-Version 0.69.4 veröffentlicht. Der Ökosystem-Vorfall wird unter CVE-2026-33634 geführt und am 26. März in CISA’s Katalog der bekanntermaßen ausgenutzten Schwachstellen aufgenommen. The Hacker News bestätigte am 12. August, dass der CVE-Eintrag inzwischen auch BerriAI LiteLLM 1.82.7 bis 1.82.8 neben den Trivy-Komponenten als betroffen nennt.
Uneinigkeit gab es darüber, wie die manipulierten LiteLLM-Versionen auf PyPI gelangten. CloudSEK schrieb, ein vergifteter Build habe die Releases erzeugt und veröffentlicht. LiteLLM verwies in seinem Incident-Report auf einen direkten PyPI-Upload unter Umgehung des offiziellen CI/CD-Workflows. Unit 42 beschrieb, dass die Angreifer nach dem Trivy-Einbruch auf PyPI-Veröffentlichungs-Tokens zielten. Auf Nachfrage widersprach CloudSEK einem Widerspruch in der Sache: Das seien verschiedene Stufen derselben Angriffskette. PyPA beschreibt in seiner Warnung dieselbe Abfolge: Ein über die kompromittierte Trivy-Abhängigkeit offengelegtes API-Token sei anschließend zum Hochladen der beiden Versionen genutzt worden.
Dass der Vorfall reale Folgen hatte, ist auch unabhängig von CloudSEKs Hochrechnung belegt. Checkmarx erklärte, mit durch den Trivy-Angriff erlangten Zugangsdaten sei unbefugter Zugriff auf seine GitHub-Repositories erfolgt und es seien bösartige Artefakte veröffentlicht worden. Mercor teilte mit, von den manipulierten LiteLLM-Versionen betroffen gewesen zu sein und unbefugte Aktivitäten eingedämmt zu haben. CERT-EU bewertete zudem mit hoher Sicherheit, dass ein AWS-Konto der Europäischen Kommission über den Trivy-Lieferkettenangriff kompromittiert wurde; dabei seien rund 91,7 GB komprimierter Daten exfiltriert worden.
Das FBI warnte in einer Mitteilung vom 2. Juli, FLASH-20260702-01, dass beteiligte Akteure die während der TeamPCP-Kampagne abgeflossenen Zugangsdaten wahrscheinlich noch lange nach der ursprünglichen Kompromittierung missbrauchen werden. Die Behörde empfahl die Rotation von CI/CD-Geheimnissen, Publishing-Tokens und Cloud-Zugangsdaten, auf die während der relevanten Zeitfenster zugegriffen werden konnte. Sowohl das FBI als auch Aqua raten laut Bericht dazu, langlebige Tokens durch kurzlebige zu ersetzen.