2社のセキュリティ企業が、3月に発生したLiteLLMを標的としたサプライチェーン攻撃の被害規模に、ようやく数字を与えた。LiteLLMは、多くのAIチームが大規模言語モデルプロバイダーにアクセスするために頼りにしているオープンソースのゲートウェイだ。8月11日と12日に調査結果を公表したCloudSEKとHudson Rockは、3月の約40分間の露出期間中に盗まれた認証情報が、2,500以上の組織とおよそ434,000件のCI/CDパイプラインに結びつくと推定している。Hudson Rockは、195 TBの盗難データのファイルを基に調査したと述べた。
LiteLLMは、主要なLLMプロバイダーの大半へのアクセスを一手に担うため、数え切れないほどのAIプロジェクトの依存関係に含まれている。3月、身元不明の攻撃者は、公式のPython Package Indexリポジトリに、同パッケージの改ざんされたビルド2種（バージョン1.82.7と1.82.8）を公開した。これらのビルドに仕込まれたコードは、パッケージが実行されたすべてのマシンのメモリを検査し、その内容を収集して、攻撃者が管理するサーバーに結果を送信した。PyPIは、最初の報告が浮上してから約40分後に両バージョンを削除した。
2社によれば、攻撃者が収穫したのは広範囲に及ぶ機密情報だった。AIプロバイダーのAPIキー、AWS、Google Cloud、Azureのクラウド認証情報、SSH鍵、ソースリポジトリのトークン、Kubernetesのシークレット、環境変数、パッケージの公開に使われる認証情報などだ。ソフトウェアのビルド、テスト、デプロイを自動化するパイプラインは格好の標的だ。通常は広い権限で動作し、依存関係を自動的にインストールするため、この組み合わせによって、短い公開期間でも悪意あるコードが広く拡散した。
両社は、露出と侵害を区別することに慎重だった。CloudSEKは自社の数字を再構成された露出と呼び、データセットに組織が登場しても、そのシステムが侵害されたことや、機密情報がすべて持ち出されたことを証明するものではないと指摘した。この資料を調査した独立系セキュリティ研究者のケビン・ボーモント氏は、複数の被害組織についてデータの信憑性を検証したと述べ、この事件の規模は、攻撃手法そのものが特殊だったからではなく、性急なAI導入と脆弱なDevOps管理体制に起因するとした。
データを特定の被害者に結びつける作業自体も困難だった。研究者らによると、siriusxm.comドメインに関連するアドレスは、SiriusXM本体ではなく、その広告子会社であるAdsWizzに属することが判明した。
両社が高い確信を持って照合できたと述べた名前には、Nvidia、AWS、Samsung、Salesforce、Ciscoに加え、ServiceNow、Siemens、Regeneron Pharmaceuticals、Accenture Federal Servicesなどが含まれる。Microsoft、Amazon、London Stock Exchange Groupも登場し、FedEx、Volkswagen、Orange、HP、Deutsche Bahnに加え、NGINXとZscalerも名を連ねている。
3月の事件は、より早期の侵害から発展したものだった。人気の脆弱性スキャナーであるTrivyからメンテナーの認証情報を盗んでいた攻撃者は、その認証情報を再利用して、LiteLLM、CheckmarxのKICSスキャニングアクション、Telnyx Python SDKにバックドアを仕込んだ。TeamPCPを名乗るグループが犯行声明を出しており、研究者らはこの主張を広く支持している。報道では、そのメンバーはほとんどが10代の若者だとされている。
この事件は公的機関の注目も集めている。FBIのフラッシュアラートと、Aqua Security、Checkmarx、LiteLLMの開発元であるBerriAI、Unit 42、Sophosからの勧告は、いずれもこのキャンペーンの一部を扱っている。
影響を受けた組織への指針は率直だ。感染したマシン上のすべての機密情報が露出したと想定し、認証情報をローテーションし、下流のシステムを監査することだ。CloudSEKのより広い警告は、改ざんされたパッケージは数分でレジストリから消えるかもしれないが、収集された認証情報は数週間から数か月間有効なままであり、ゲートウェイ、エージェント、モデルエンドポイントを擁するAIインフラは、今やサプライチェーン攻撃者にとって最も魅力的な標的の一角に数えられるというものだ。
雅子 訳
Sources: Terabytes of credentials leaked in massive supply-chain attack (Ars Technica, Aug 2026); 2,500+ Companies and 434,000 CI/CD Pipelines Exposed (CloudSEK, Aug 2026); Over 2,500 Organizations Impacted by LiteLLM Supply Chain Attack (SecurityWeek, Aug 2026); LiteLLM Breach Exposed 434,000 Pipelines Inside 40 Minutes (Cybersecurity Intelligence, Aug 2026)