LiteLLM ist eine Umgebung, mit der Nutzer verschiedene KI-Plattformen bündeln und über eine einzige Oberfläche konfigurieren können. Einer Angreifergruppe namens „TeamPCP“ ist es gelungen, LiteLLM zu kompromittieren. Das geschah allerdings nicht auf direktem Wege, sondern über einen automatisierten Security-Scanner, über deren Updates Schadcode in LiteLLM eingebracht wurde. Die infizierten Pakete lagen nur etwa 40 Minuten auf dem Python Package Index (PyPI) bis sie entdeckt wurden – in diese Zeit dürften aber Hunderttausende Systeme sich diese heruntergeladen haben.
Fälle wie diese zielen direkt auf die CI/CD (Continuous Integration/Continuous Delivery) -Umgebung einer Software-Lieferkette ab, entlang derer LiteLLM zum Einsatz kommt. Für Angreifer war es möglich, mithilfe der erbeuteten API-Keys, Token und Zugangsdaten weiteren Schadcode in hunderttausende Umgebungen einzubringen und potenziell auch Zugriff auf Daten zu erlangen, die vom einem angeschlossenen LLM verarbeitet wurden.
Was ist jetzt zu tun?
Erstmaßnahme bei betroffenen Unternehmen sollte das Ändern von Passwörtern sowie das Widerrufen von Tokens und Schlüsseln sein, sofern sie an irgendeiner Stelle über LiteLLM oder ein daran angebundenes LLM verarbeitet wurden.
Das eigentliche Risiko ist hier zum einen, dass die entwendeten Zugangsdaten erst zeitverzögert zum Einsatz kommen können. Zum anderen weckt dieses Ereignis auch Erinnerungen an den Vorfall, in dem die KI von Anthropic eigenständig einen Angriff auf Unternehmen gestartet hat- und zu diesem Zweck ebenfalls ein präpariertes Softwarepaket hinterlegte – in diesem Falle auf PyPI. Dort lag es weniger als eine Stunde, was aber trotzdem reichte, um 15 Systeme zu infizieren.
Der hier beschriebene Vorfall trug sich bereits im März 2026 zu. Welche Unternehmen genau betroffen sind, wurde jetzt erst durch einen Bericht von CloudSEK bekannt.
Die betroffenen Versionen von LiteLLM sind 1.82.7 und 1.82.8. Die aktuelle Version von LiteLLM ist 1.97.0.
