Ein 40-Minuten-Angriff legte Zugangsdaten von Microsoft, Amazon, Cisco und 2.500 weiteren Organisationen offen

Wichtigste Punkte

• Ein Supply-Chain-Angriff auf LiteLLM, ein Open-Source-Werkzeug, das Entwicklern hilft, KI-Software zu erstellen, legte Zugangsdaten von mehr als 2.500 Organisationen offen.
• Der Diebstahl ereignete sich in einem 40-minütigen Zeitfenster im März 2025, als Opfer eine kompromittierte Version von LiteLLM aus dem offiziellen Python Package Index herunterladten, der Standard-Online-Bibliothek für Python-Software.
• Die Sicherheitsfirmen CloudSEK und Hudson Rock gaben die Verletzung am Dienstag und Mittwoch bekannt; Hudson Rock fand die gestohlenen Daten in einer 195-TB-Datei (Terabyte).
• Benannte Organisationen, deren Zugangsgeheimnisse offengelegt wurden, sind Microsoft, Amazon, Cisco, Samsung und Salesforce.
• Das gestohlene Material umfasst Cloud-Schlüssel, SSH-Schlüssel (digitale Kennwörter für Server) und Kubernetes-Geheimnisse (Anmeldedaten, die Cloud-Computing-Cluster kontrollieren), unter anderem sensitive Informationen.

Ein Softwarewerkzeug, das von Tausenden von Entwicklern zum Erstellen von KI-Anwendungen verwendet wird, wurde im März stillschweigend manipuliert, und das Diebstahl-Zeitfenster dauerte nur 40 Minuten. Das reichte aus.

Die Sicherheitsfirmen CloudSEK und Hudson Rock veröffentlichten am Dienstag und Mittwoch Erkenntnisse, die zeigen, dass Angreifer eine bösartige Version von LiteLLM in den Python Package Index eingefügt hatten – die zentrale Online-Bibliothek, aus der Entwickler vorgefertigte Softwarekomponenten herunterladen. LiteLLM ist ein Open-Source-Werkzeug, das als gemeinsame Schicht zwischen KI-Modellen und den darauf aufgebauten Anwendungen fungiert und es Entwicklern ermöglicht, zwischen verschiedenen KI-Anbietern zu wechseln, ohne ihren Code neu zu schreiben.

Was genau wurde gestohlen?

Eine Menge. CloudSEK sagt, dass die kompromittierten Versionen Cloud-Schlüssel, Repository-Token, SSH-Schlüssel, Kubernetes-Geheimnisse, Paket-Veröffentlichungsanmeldedaten, Umgebungsvariablen und API-Schlüssel für KI-Anbieter gesammelt haben. All diese sind die digitalen Äquivalente von Hauptschlüsseln: Wer sie besitzt, kann in Systeme eindringen, Daten lesen, Befehle erteilen und in einigen Fällen im Namen der Opfer Software-Updates veröffentlichen.

Die Firmen nannten Microsoft, Amazon, Cisco, Samsung und Salesforce als nur einige der betroffenen Organisationen. CloudSEK zählt insgesamt mehr als 2.500.

Hudson Rock machte seine Entdeckung, nachdem es eine 195-TB-Datei analysiert hatte, die es unabhängig erhalten hatte. Keine der beiden Firmen hat den Angreifer benannt oder die genaue Quelle dieser Datei identifiziert.

Sollten sich gewöhnliche Entwickler und Unternehmen Sorgen machen?

Ja, wenn sie LiteLLM verwenden und im März ein Update heruntergeladen haben, ohne dessen Integrität zu überprüfen. Der Angriff ist ein Lehrbuchbeispiel für eine Supply-Chain-Kompromittierung: Anstatt jedes Ziel direkt anzugreifen, verseuchte der Angreifer ein gemeinsames Werkzeug und ließ die Opfer zu ihm kommen.

Für Endbenutzer von Produkten, die auf LiteLLM aufbauen, ist das Risiko indirekt, aber real. Ein gestohlener Cloud-Schlüssel kann Kundendaten offenlegen, die in diesem Cloud-Konto gespeichert sind.

Jede Organisation, die LiteLLM verwendet, sollte überprüfen, welche Version sie ausführt, alle Anmeldedaten rotieren (ersetzen), die im März in Gebrauch hätten sein können, und Zugriffsprotokolle auf ungewöhnliche Aktivitäten überprüfen.

Was passiert jetzt?

Keine der beiden Sicherheitsfirmen hat bestätigt, dass betroffene Unternehmen einzeln benachrichtigt wurden. Die Betreuer des Python Package Index haben noch keine öffentliche Erklärung zum kompromittierten Paket abgegeben.

Dieser Vorfall folgt einem Muster, vor dem Sicherheitsforscher seit Jahren warnen: Open-Source-Werkzeuge, die bei der KI-Entwicklung verwendet werden, bergen die gleichen Supply-Chain-Risiken wie jede andere Software, und das schnelle Wachstum der KI-Einführung bedeutet, dass die Sprengkraft, wenn etwas schief geht, immer größer wird.

Häufig gestellte Fragen

Was ist ein Supply-Chain-Angriff?

Anstatt direkt in ein Unternehmen einzubrechen, manipulieren Angreifer ein Werkzeug oder eine Softwarekomponente, die das Unternehmen herunterlädt und vertraut. Die Opfer infizieren sich selbst, ohne es zu wissen.

Wie weiß ich, ob meine Organisation betroffen ist?

Überprüfen Sie Ihre LiteLLM-Versionshistorie auf Updates, die im März 2025 angewendet wurden, und rotieren Sie dann alle Anmeldedaten, auf die diese Anwendung zugreifen könnte. Ihr Sicherheits- oder IT-Team kann Download-Protokolle abrufen, um zu bestätigen, welche Version verwendet wurde.