LiteLLMの不正リリースによる秘密情報流出、影響は2500以上の組織に及ぶ可能性
要点
- 2026年3月にPythonパッケージリポジトリのPyPI上で配布されたオープンソースAIツール「LiteLLM」の改ざんバージョンについて、新たな調査結果が公開された。
- 攻撃者が外部に持ち出した約43万4000件のファイルを分析した結果、2500を超える組織の認証情報が流出した可能性があることが判明した。
- 改ざんされたパッケージには、Python起動時に自動実行されて環境変数やクラウドの認証情報を外部へ送信するバックドアが仕込まれていた。
- 影響を受けた可能性がある組織には大手テック企業やグローバル企業が多数含まれており、米FBIやセキュリティ機関が認証情報の早急な更新を呼びかけている。
オープンソースのAIゲートウェイツール「LiteLLM」の不正パッケージが配布された問題で、脅威インテリジェンス企業のCloudSEKは2026年8月、攻撃者が収集したデータセットの分析結果を公表した。盗み出された約43万4000件のファイルを調査したところ、2500以上の組織に影響が及んでいる可能性があることが明らかになったという。
LiteLLMは、複数のAIモデルプロバイダーを統合してアプリケーションと接続するためのオープンソースソフトウェアだ。2026年3月24日、認証情報を窃取するコードが混入したバージョン「1.82.7」および「1.82.8」が、Pythonの公式パッケージ管理リポジトリであるPyPI（Python Package Index）上に公開された。これらのバージョンは約40分後に隔離されたものの、その短い公開期間中に多数の環境へ取り込まれたとみられている。
43万件超のログから判明した広範な影響
CloudSEKが機密インテリジェンスソースから入手したデータセットは、攻撃キャンペーンの過程で外部に送信されたログや窃取ファイルで構成されている。同社はこのデータを分析し、流出のリスクにさらされた組織を検索できるオンラインツールを公開した。
公開された検索データベースでは、組織名やドメインごとに露出した秘密情報の数や実行回数が表示され、確信度（HighまたはMedium）で判定されている。「High」の判定は、収集されたCI/CD（継続的インテグレーション／継続的デリバリー：ソフトウェアのビルドやテストを自動化する環境）ランナーのホスト識別情報や正規のコミッタードメインなど、直接的な環境データが一致した場合に付与される仕組みだ。
リストには、NVIDIA、Cisco、Deloitte、Volkswagen、FedEx、Siemens、X Corpといった著名な企業が含まれている。ただし、データセットの存在はあくまでファイルが窃取されたことを示すものであり、盗まれた認証情報が実際に攻撃に悪用されたことまでを証明するものではないという。そのため、CloudSEKおよびLiteLLMプロジェクトは、被害の確定を待たずに認証情報を更新するよう強く求めている。
Pythonの起動時に自動実行される高度な仕掛け
問題となったバージョン1.82.8には、litellm_init.pth というファイルが含まれていた。Pythonの仕組み上、.pth 拡張子のファイルはインタプリタの起動時に自動的に読み込まれる。そのため、アプリケーションコード内で明示的にLiteLLMをインポートしていなくても、該当環境でPythonプロセスが立ち上がるだけで不正なコードが実行される構造になっていた。
不正パッケージに仕込まれたコードは、環境変数、SSH接続用の秘密鍵、クラウドサービスの認証キー、Kubernetesのアクセストークン、データベースのパスワードなどを広範囲に収集するよう設計されていた。さらにサイバーセキュリティ企業Unit 42の分析によると、OPENAI_API_KEY や ANTHROPIC_API_KEY といった主要なAIモデルのAPIキーも読み取られていたという。
収集された秘密情報は暗号化された上で、正規のプロジェクトとは一切関係がない攻撃者管理のドメイン（models.litellm[.]cloud）へ送信されていた。
間接的な依存関係による意図せぬ混入と対策
今回の手口において特に注意が必要とされたのは、開発者が直接LiteLLMの導入を選択していなくても被害に遭う可能性があった点だ。AIエージェントフレームワークや各種オーケストレーションツールが内部で利用する「推移的依存関係（ライブラリが依存する別のライブラリ）」として、意図せず侵害バージョンが自動取得されたケースが存在するという。
LiteLLMプロジェクト側は、協定世界時（UTC）の3月24日10時39分から約40分間にわたり侵害版が公開されていたとしつつも、同日16時00分までに実行されたインストールについてはすべて疑わしいものとして扱うよう案内している。なお、8月12日時点で侵害された2つのバージョンはPyPIの公開履歴から完全に削除されており、前後の安全なバージョン（1.82.6および1.83.0）のみが提供されている。
この一連の事案は、セキュリティスキャナー「Trivy」のインシデントとも関連する攻撃グループ「TeamPCP」（Googleによる追跡名はUNC6780）の大規模なサプライチェーン攻撃の一部と位置づけられている。
米連邦捜査局（FBI）も2026年7月2日付の勧告において、TeamPCPのキャンペーンによって持ち出された認証情報が、初期の侵害から長い期間を経てから攻撃に悪用される恐れがあると警告している。静的なクラウドAPIキーやSSH秘密鍵などの長期間有効なシークレットは、手動で無効化や更新を行わない限り有効であり続けるため、関係機関は長期利用トークンの廃止と一時的な認証情報への切り替えを呼びかけている。