LiteLLMサプライチェーン攻撃：AIセキュリティへの警鐘
公開日: 2026年3月24日
AIおよびサイバーセキュリティ業界に衝撃が走る出来事が起きた。 様々な大規模言語モデルとやり取りするために広く使われている Pythonパッケージ「LiteLLM」が、巧妙なサプライチェーン攻撃によって 侵害されたのだ。2026年3月24日、TeamPCPと名乗る悪意ある攻撃者が、 正規のメンテナーからPyPIの認証情報を盗み出したうえで、 バックドアが仕込まれたバージョン（1.82.7および1.82.8）を公開した。
月間ダウンロード数約9,700万件を誇るLiteLLMは、多くのAIパイプラインで 重要な構成要素となっており、この侵害は世界中の組織にとって とりわけ深刻な懸念材料となっている。
攻撃チェーン：多段階のアプローチ
この攻撃は驚くほど精密に実行された。攻撃者はLiteLLMのCI/CD パイプラインに仕込まれた不正なTrivy GitHub Actionを通じて、 PyPIの発行者認証情報を侵害することからこの攻撃を始めた。これにより、 Python Package Index（PyPI）に悪意あるバージョンのパッケージを 公開する権限を手に入れた。
シンプルな pip install litellm コマンドでインストールされると、侵害されたパッケージは 巧妙な多段階攻撃を展開した：
- ブートストラップ段階：
litellm_init.pthおよびproxy_serverファイルに悪意あるコードが植え付けられ、初期アクセスが確立された。 - 認証情報の収集： このバックドアは以下を含む機密情報を系統的に収集した：
- 各種AIサービスのAPIキー
- SSHキー
- クラウドプロバイダーの認証情報
- Kubernetesのシークレット
- 永続化の仕組み： このマルウェアはKubernetesクラスター全体で永続化を確立し、 侵害された環境への長期的なアクセスを可能にした。
セキュリティ研究者のアンドレイ・カルパシー氏は事態の深刻さを 指摘し、単純なパッケージのインストールだけで攻撃が発動するのに 十分だったことは、日常的な開発者の行動が重大なセキュリティ侵害に つながりうることを浮き立たせていると述べた。
広範な影響
このサプライチェーン攻撃の影響は、個々の開発者を大きく超えて 広がっている。AIパイプラインでLiteLLMを利用していた組織は、 自社のインフラ全体を侵害のリスクにさらす可能性があった。 盗まれた認証情報は、攻撃者に以下へのアクセスを与える可能性がある：
- 機密性の高いAIモデルAPIと関連データ
- クラウドインフラのリソース
- Kubernetesクラスターとそのワークロード
- 開発環境および本番環境
Sonatypeのセキュリティ専門家はこの攻撃を「標的型」と表現し、 AIパイプラインを侵害し、クラウドのシークレットを流出させることを 特に意図して設計されたものだと説明した。
緊急の対応策
セキュリティ勧告は次の緊急対応を推奨している：
- 依存関係を最後に安全と確認されたバージョン（
1.82.6）に固定する - 侵害の痕跡についてシステムを監査する
- 侵害の可能性があるすべての認証情報を直ちにローテーションする
- より強固なサプライチェーン・セキュリティ対策を実施する
NVIDIAの開発者フォーラムは、侵害されたバージョンのインストールを 防ぐため「今すぐ1.82.6に固定せよ」と緊急警告を発した。
AI業界への教訓
この事件は、急速に進化するAIエコシステムにおいて拡大している セキュリティ上の課題を浮き立たせている。組織がAIシステムの 構築・展開のためにオープンソースツールへの依存を強めるにつれ、 これらの構成要素のセキュリティが極めて重要になる。
LiteLLM攻撃は、AIサプライチェーンが今や高度な脅威アクターの 主要な標的となっていることを痛感させる。組織はソフトウェア構成 分析、依存関係の固定、堅牢な認証情報管理の実践を含む、 包括的なセキュリティ対策を実施する必要がある。
調査が続く中、この事件はAIサプライチェーンを保護し、 パッケージのセキュリティと検証に関するより厳格な基準を確立するための 業界全体の取り組みを加速させる可能性が高い。
