LiteLLM侵害の真因はTrivy改ざんと判明
- LiteLLM関連の大規模侵害、実態はTrivy改ざんが起点とSOCRadarが報告
- 被害組織の95%はLiteLLMの悪意あるパッケージ公開前から侵害されていた
- 認証トークンやAPIキーなど機密情報が窃取され、Telegramで売買されている
かんたんに言うと
AI開発でよく使われるLiteLLMというツールが原因とされていた大規模な情報漏えいは、実は別のスキャナーツールの改ざんが本当の原因だったと分かった。CI/CD環境で使う認証情報を扱う企業は、依存関係の見直しが必要。
AIセキュリティとの関連: LiteLLMはAIモデルのAPI呼び出しを仲介する開発基盤ツールで、その供給網侵害の全容を追う続報のため。
一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。
何が起きたか
セキュリティ企業SOCRadarの分析によると、2500社以上に影響したとされるLiteLLM関連の侵害は、実際には別のオープンソースツールTrivy(脆弱性スキャナー)の改ざんが発端だったと報じられている。攻撃はTeamPCPと呼ばれる脅威アクターによるもので、ワーム型マルウェア「Shai-Hulud」の亜種が関与したとされる。侵害はTrivyの改ざんから始まり、自動ビルドの連鎖で下流の複数パッケージへ拡散した。LiteLLM自体も3月24日に悪意あるバージョンが公開され、約40分間公開状態が続いたが、SOCRadarはこれを「一連の攻撃の最終局面に過ぎない」と分析している。
誰に・どう影響するか
中小企業では、CI/CDパイプライン(自動ビルド・デプロイの仕組み)にLiteLLMやTrivyを組み込んでいる場合、認証トークンやAPIキーが既に窃取されている可能性がある。大企業では、GitHub Actions、GitLab CI、Jenkinsなど複数のCI/CD基盤にまたがる被害が確認されており、影響範囲の特定に時間がかかる恐れがある。SOCRadarによれば、識別された2188組織のうち95%が、LiteLLMの悪意あるパッケージ公開以前にすでに侵害されていたとされ、被害の起点を見誤ると対応が後手に回る。
今すぐやるべきアクション
- Trivy・LiteLLMを利用している場合、3月19日〜24日の期間にビルドやスキャンを実行していないか履歴を確認する
- 該当期間に生成・使用したAPIキー、JWT、AWSアクセスキー等の認証情報を全て失効・再発行する
- CI/CD環境のログを遡り、不審な外部通信や.pthファイル等の異常な実行痕跡がないか調査する
- GitHub、GitLab、Slack、OpenAI等の連携トークンを最小権限の原則で再設定する
- 依存パッケージの自動更新設定を見直し、サプライチェーン監視ツールの導入を検討する
重大度の判定理由
重大度「高」: 既に侵害が広範囲に及んでおり、認証情報の窃取と売買が確認されているため対応急務だが新規の脆弱性ではない