Im Zuge eines Supply-Chain-Angriffs auf das Open-Source-Projekt LiteLLM wurden Daten von mehr als 2500 Organisationen kompromittiert. Zu den betroffenen Unternehmen zählen nach vorliegenden Angaben Cisco, Samsung, Salesforce und Amazon Web Services sowie Airbus U.S. Space & Defense, Thales Group, Deutsche Bahn, Munich Re und London Stock Exchange Group. Der Vorfall gehört zu den schwerwiegendsten Vorfällen der Cybersicherheit der letzten Monate und betraf nicht nur Unternehmensinformationen, sondern auch hochsensible dienstliche Geheimnisse.

Angriffsmechanismus: gefälschtes Trivy-Paket

LiteLLM ist ein Open-Source-Gateway, das API-Aufrufe für über hundert große Sprachmodelle in ein einheitliches, mit OpenAI kompatibles Format umwandelt. LiteLLM selbst wurde dabei nicht direkt kompromittiert: Das unmittelbare Ziel der Angreifer war das Schutzmodul Aqua Security Trivy, das zur Schwachstellenanalyse dient. Laut Ermittlungen führten Hacker der Gruppe TeamPCP den Angriff aus: Ein modifiziertes Trivy-Paket wurde ohne Prüfung der Identifikatoren in LiteLLM geladen, wodurch die Angreifer Administratorrechte auf dem Server erlangten und Schadsoftware installierten.

Was genau gestohlen wurde: Schlüssel sind wertvoller als Daten

Die installierte Schadsoftware kompromittierte Zugangsdaten und Secrets, die Experten als deutlich wertvoller einstufen als die eigentlichen Unternehmensinformationen. Zu den gestohlenen Daten gehören SSH-Schlüssel und Cloud-Ressourcen-Schlüssel, Kubernetes-Tokens, Umgebungsvariablen, Veröffentlichungstokens für Repositories sowie Schlüssel von KI-Anbietern. Laut CloudSEK wurden Ressourcen von 2500 Unternehmen und 434.000 CI/CD-Pipelines – Softwareentwicklungsprojekten – kompromittiert. Hudson Rock untersuchte einen Datenabfluss von 195 TB und veröffentlichte ein Archiv mit Materialien in einer Größe von 153 GB.

Chronologie und Prüfungstools

Experten von CloudSEK und Hudson Rock stellten fest, dass der Angriff am 24. März ausgerollt wurde, das Problem jedoch auch fünf Monate nach dem Vorfall ungelöst blieb. Beide Unternehmen stellten Domain-Prüfungstools bereit, damit betroffene Organisationen ihren eigenen Schwachstellenstatus online selbst bewerten konnten. Nach dem aktuellen Stichtag vom 24. August 2026 sind seit dem Ausrollen des Angriffs etwa fünf Monate vergangen, was die Dauer unterstreicht, in der die Bedrohung bestand.

Widersprüchliche Angaben

In den Quellen gibt es Abweichungen hinsichtlich des Umfangs des Vorfalls. Der Haupttext und mehrere Medien (darunter 3dnews.ru, cpomagazine.com und securityweek.com) nennen mehr als 2500 betroffene Organisationen, während The Hacker News in seinem Beitrag von „mehr als 2100 Organisationen“ spricht. Die Unterschiede in den Schätzungen können auf unterschiedliche Zählmethoden und verschiedene Zeitpunkte der Datenerfassung zurückzuführen sein. Darüber hinaus behaupten die Unternehmen zwar, die Zugangsdaten ersetzt zu haben, doch bleiben nach vorliegenden Informationen einige der kompromittierten Schlüssel bis heute gültig, und es gibt bislang keine Garantie, dass die Organisationen die Funktionsmechanismen ihrer KI-Systeme erneut prüfen werden.

Folgen für die Vertraulichkeit

Die kompromittierten Schlüssel und Tokens können die Vertraulichkeit der Daten sowohl der betroffenen Organisationen als auch ihrer Kunden gefährden. Experten betonen, dass die Leckage dienstlicher Geheimnisse – SSH-Schlüssel, Kubernetes-Tokens und Umgebungsvariablen – den Weg zu weiterer lateraler Bewegung in der Infrastruktur ebnet und den Vorfall zu einem potenziell langfristigen Risiko macht. Für die betroffenen Unternehmen besteht die Priorität nicht nur in der Ersetzung der Zugangsdaten, sondern auch in der Prüfung der Lieferketten und der Funktionsmechanismen der KI-Systeme.