Un attacco di 40 minuti ha esposto le credenziali di Microsoft, Amazon, Cisco e altre 2.500 organizzazioni

Punti chiave

• Un attacco alla catena di approvvigionamento su LiteLLM, uno strumento open-source che aiuta gli sviluppatori a creare software AI, ha esposto le credenziali di oltre 2.500 organizzazioni.
• Il furto si è verificato in una finestra di 40 minuti a marzo 2025 quando le vittime hanno scaricato una versione compromessa di LiteLLM dall'indice ufficiale dei pacchetti Python, la libreria online standard per il software Python.
• Le aziende di sicurezza CloudSEK e Hudson Rock hanno divulgato la violazione martedì e mercoledì; Hudson Rock ha trovato i dati rubati all'interno di un file di 195 TB (terabyte).
• Le organizzazioni nominate i cui segreti di accesso sono stati esposti includono Microsoft, Amazon, Cisco, Samsung e Salesforce.
• Il materiale rubato include chiavi cloud, chiavi SSH (password digitali per i server) e segreti Kubernetes (credenziali che controllano i cluster di cloud computing), tra altri elementi sensibili.

Uno strumento software utilizzato da migliaia di sviluppatori per creare applicazioni AI è stato silenziosamente manomesso a marzo, e la finestra di furto è durata solo 40 minuti. È stato sufficiente.

Le aziende di sicurezza CloudSEK e Hudson Rock, segnalate per la prima volta da Ars Technica AI, hanno pubblicato i risultati martedì e mercoledì mostrando che gli attaccanti avevano inserito una versione dannosa di LiteLLM nell'indice dei pacchetti Python, la libreria online centrale da cui gli sviluppatori scaricano componenti software già pronti. LiteLLM è uno strumento open-source che funge da strato comune tra i modelli AI e le applicazioni costruite su di essi, consentendo agli sviluppatori di passare da un provider AI a un altro senza riscrivere il codice.

Cosa è stato esattamente rubato?

Molto. CloudSEK afferma che le versioni compromesse hanno raccolto chiavi cloud, token di repository, chiavi SSH, segreti Kubernetes, credenziali di pubblicazione di pacchetti, variabili di ambiente e chiavi API per provider AI. Tutti questi sono gli equivalenti digitali di chiavi generali: chiunque le possieda può accedere ai sistemi, leggere dati, inviare comandi e in alcuni casi pubblicare aggiornamenti software per conto delle vittime.

Le aziende hanno nominato Microsoft, Amazon, Cisco, Samsung e Salesforce come solo alcuni delle organizzazioni colpite. CloudSEK ne conta più di 2.500 in totale.

Hudson Rock ha fatto la sua scoperta dopo aver analizzato un file di 195 TB ottenuto indipendentemente. Nessuna delle due aziende ha nominato l'autore dell'attacco o identificato la fonte precisa di quel file.

Dovrebbero gli sviluppatori e le aziende ordinarie preoccuparsi?

Sì, se utilizzano LiteLLM e hanno scaricato un aggiornamento a marzo senza verificarne l'integrità. L'attacco è un compromesso classico della catena di approvvigionamento: invece di hackerare ogni bersaglio direttamente, l'attaccante ha avvelenato uno strumento condiviso e ha lasciato che le vittime venissero da loro.

Per gli utenti finali di prodotti costruiti su LiteLLM, il rischio è indiretto ma reale. Una chiave cloud rubata può esporre i dati dei clienti archiviati in quell'account cloud.

Qualsiasi organizzazione che utilizza LiteLLM dovrebbe verificare quale versione sta eseguendo, ruotare (sostituire) tutte le credenziali che potrebbero essere state in uso a marzo e controllare i registri di accesso per attività insolite.

Cosa succede dopo?

Nessuna delle due aziende di sicurezza ha confermato che le aziende colpite siano state notificate individualmente. I manutentori dell'indice dei pacchetti Python non hanno ancora rilasciato una dichiarazione pubblica sul pacchetto compromesso.

Questo incidente segue uno schema di cui i ricercatori di sicurezza avvertono da anni: gli strumenti open-source utilizzati nello sviluppo AI comportano gli stessi rischi di catena di approvvigionamento di qualsiasi altro software, e la rapida crescita dell'adozione AI significa che il raggio di esplosione quando qualcosa va storto continua ad aumentare.

Domande comuni

Cos'è un attacco alla catena di approvvigionamento?

Invece di forzare l'accesso direttamente a un'azienda, gli attaccanti manomettono uno strumento o un componente software che l'azienda scarica e ritiene affidabile. Le vittime si infettano da sole senza saperlo.

Come faccio a sapere se la mia organizzazione è stata colpita?

Controlla la cronologia della versione LiteLLM per eventuali aggiornamenti applicati a marzo 2025, quindi ruota tutte le credenziali a cui quell'applicazione potrebbe aver avuto accesso. Il tuo team di sicurezza o IT può estrarre i registri di download per confermare quale versione era in uso.