IT之家 8 月 13 日消息，科技媒体 Ars Technica 今天（8 月 13 日）发布博文，报道称今年 3 月爆发的 API 网关 LiteLLM 投毒事件中，在约 40 分钟的攻击窗口内波及全球约 2500 家企业，导致约 195TB 的密码数据泄露。
IT之家曾于今年 3 月报道，月均安装量达 9500 万次的 AI 基础设施工具 LiteLLM 遭到供应链投毒。
LiteLLM 是一个开源的 AI API 网关，作为支撑数千家企业 AI 架构的关键工具，支持开发者通过统一的格式调用 OpenAI、Anthropic、Azure 等 100 多家服务商的 API 调用。
打开网易新闻 查看精彩图片
根据安全公司 CloudSEK 与 Hudson Rock 本周披露的数据，在约 40 分钟的攻击窗口中，攻击者通过受感染版本抓取并外传大量密码凭据，波及超过 2,500 个组织，并表示这是 2026 年最大规模的 AI 供应链泄露事件。
打开网易新闻 查看精彩图片
暴露的信息包括云密钥、代码仓库 Token、SSH 密钥、Kubernetes 密钥、软件包发布凭据、环境变量以及 AI 服务商密钥等。
打开网易新闻 查看精彩图片
两家公司分析了一份 195TB 的泄露文件，发现在本次安全事件中，泄露约 434,000 条 CI / CD（持续集成／持续交付）软件流水线的凭据，这些凭据分散在大规模数据中，涉及大量运行 LiteLLM 的组织。
在受影响企业和机构方面，研究人员表示有充足的证据表明，以下公司受到影响，完整清单可以点击此处查看：
- Nvidia Corporation 英伟达公司
- Amazon Web Services (AWS) 亚马逊网络服务
- Samsung Electronics 三星电子
- samsung.com 三星官网
- Salesforce 公司
- Cisco Systems, Inc. 思科系统公司
- F. Hoffmann-La Roche AG 罗氏制药
- ServiceNow
- Siemens AG 西门子股份公司
- S&P Global 标普全球
- Airbus US Space & Defense 空中客车美国航天与防务
- John Deere 约翰迪尔
- Regeneron Pharmaceuticals, Inc.再生元制药公司
- London Stock Exchange Group (LSEG) 伦敦证券交易所集团（LSEG）
- Thomson Reuters 汤森路透
- FedEx 联邦快递
- Munich Remunichre.com
- MediaTek Inc. 联发科股份有限公司
- Volkswagen AG 大众汽车股份公司
- Deloitte 德勤
- The Kroger Co. 克罗格公司
- Siemens Energy 西门子能源
- Thales Group 泰雷兹集团
- X 公司（推特）
- Zscaler, Inc. Zscaler 公司
- Epic Games
- Orange S.A. 南澳橙县
- HP Inc. 惠普公司
- Philips 飞利浦
- Fortum Oyj 富腾公司
- Vodafone Group Plc 沃达丰集团有限公司
- Carl Zeiss AG 卡尔蔡司股份公司
- Deutsche Bahn AG 德国铁路股份公司
- NGINX 公司
- BT Group 英国电信集团
- Liebherr 利勃海尔
- Krungthai Bank Public Company Limited
- Roku 公司
参考
热门跟贴