LiteLLM kompromittiert: Supply-Chain-Angriff trifft Python-Paket mit 95 Millionen Downloads

Das Python-Paket LiteLLM wurde am 24. März 2026 über einen Supply-Chain-Angriff kompromittiert. Die Versionen 1.82.7 und 1.82.8 enthielten Schadcode, der SSH-Schlüssel, Cloud-Zugangsdaten, Kryptowallets und weitere sensible Zugangsdaten automatisch an einen Angreifer-Server übermittelte. Ein einfaches pip install litellm reichte aus.

Was ist passiert?

Die Hackergruppe TeamPCP hat die PyPI-Zugangsdaten des LiteLLM-Projekts erbeutet. PyPI ist das zentrale Paketverzeichnis der Python-Software. Der Angriffsweg führte über eine zuvor kompromittierte Abhängigkeit. Anschließend veröffentlichten die Kriminellen zwei manipulierte Versionen auf PyPI. Die technische Analyse von Snyk zeigt die Angriffskette: Am 19. März wurde zunächst Trivy kompromittiert, ein Sicherheitsscanner, den LiteLLM in seiner CI/CD-Pipeline verwendet. CI/CD-Pipelines sind automatisierte Abläufe, die Software bei jeder Codeänderung testen und veröffentlichen. Über die kompromittierte Trivy-Instanz gelangten die Angreifer an den PyPI-Publishing-Token von LiteLLM.

Am 24. März um 11:39 Uhr wurde die Version 1.82.7 veröffentlicht, um 11:52 Uhr folgte Version 1.82.8. Beide enthielten einen dreistufigen Angriff. Der Credential Harvester, ein Programm, das automatisch Zugangsdaten sammelt, durchsuchte das System nach SSH-Schlüsseln sowie AWS/GCP/Azure-Zugangsdaten. Außerdem wurden Kubernetes-Secrets, Kryptowallets, .env-Dateien und Datenbankpasswörter gestohlen. Dazu ein Kubernetes-Toolkit, das privilegierte Pods auf jedem Cluster-Node installiert. Zum Schluss folgte die Installation einer Systemd-Backdoor, die alle 50 Minuten neue Anweisungen von einem Command-and-Control-Server abruft. Solche Server nutzen Angreifer als Fernsteuerungszentrale für kompromittierte Systeme.

Die Version 1.82.8 war laut The Hacker News besonders gefährlich. Der Schadcode lief über eine .pth-Datei, eine spezielle Python-Konfigurationsdatei, die bei jedem Python-Start automatisch aktiv wird. Nicht nur beim Import von LiteLLM, sondern bei jedem python-Aufruf in der Umgebung.

Anzeige

Wie wurde der Angriff entdeckt?

Der Angriff wurde durch einen Fehler im Schadcode entdeckt. Callum McMahon von FutureSearch nutzte ein Cursor-MCP-Plugin, das LiteLLM als transitive Abhängigkeit installierte. Transitive Abhängigkeiten sind Pakete, die nicht direkt installiert werden, sondern als versteckte Abhängigkeit mitkommen. Der Schadcode erzeugte unbeabsichtigt eine sogenannte Fork-Bomb. Dabei handelt es sich um eine unkontrollierte Kettenreaktion von Prozessen. Jeder neue Python-Prozess startete einen weiteren, bis der Arbeitsspeicher voll war. McMahon untersuchte die Ursache und fand die manipulierte .pth-Datei. Seine Analyse veröffentlichte er auf FutureSearch.

Die kompromittierten Versionen waren weniger als drei Stunden auf PyPI verfügbar, bis das Paket in die Quarantäne verschoben wurde. Berri AI, das Unternehmen hinter LiteLLM, bestätigte den Vorfall in einem offiziellen Security Advisory.

Welche Versionen sind betroffen?

Betroffen sind ausschließlich die Versionen 1.82.7 und 1.82.8. Version 1.82.6 ist die letzte sichere Version. Nutzer der offiziellen LiteLLM-Proxy-Docker-Images sind laut Berri AI nicht betroffen, da diese Images nicht über PyPI gebaut werden.

LiteLLM verzeichnet laut Endor Labs rund 95 Millionen Downloads pro Monat. Über 2.000 Open-Source-Projekte listen es als Abhängigkeit, darunter bekannte KI-Entwicklungstools wie DSPy, MLflow und Open Interpreter. Wer in dem Zeitfenster am 24. März eines dieser Pakete installiert hat, könnte ebenfalls betroffen sein.

Was sollten Entwickler jetzt tun?

Berri AI und mehrere Sicherheitsfirmen empfehlen die gleichen Sofortmaßnahmen.

Karpathy warnt vor dem Grundproblem

Andrej Karpathy, ehemaliger KI-Chef von Tesla, hat den Vorfall auf X kommentiert. Er ordnet Supply-Chain-Angriffe als das grundlegende Problem moderner Softwareentwicklung ein. Jede Abhängigkeit kann eine vergiftete Komponente einschleusen. Das Risiko ist besonders hoch bei Projekten mit vielen Abhängigkeiten. Karpathy bevorzugt es inzwischen, einfache Funktionalitäten direkt mit einem LLM zu implementieren.

Der Vorfall trifft einen Nerv im KI-Ökosystem. LiteLLM ist ein universelles Gateway für LLM-APIs. Wer es einsetzt, bündelt typischerweise alle API-Schlüssel an einer Stelle. Das macht das Paket zu einem besonders attraktiven Ziel.

KI-Agenten verschärfen das Problem. Sie laufen häufig mit weitreichenden Systemrechten und installieren Abhängigkeiten automatisch. Ein kompromittiertes Paket in der Lieferkette erreicht so nicht nur einen Entwicklerrechner, sondern potenziell produktive Systeme. Genau dieses Szenario beschreibt auch unser Artikel zur Sicherheitsfrage bei KI-Agenten mit Vollzugriff. Warum CI/CD-Pipelines dabei zum zentralen Einfallstor werden, zeigt unsere Analyse zu Pipeline-Angriffen.

Der Angriff erinnert an den Clinejection-Vorfall, bei dem ein manipuliertes KI-Tool eine Supply-Chain-Attacke auf Cline-Nutzer ausführte. Das Muster ist identisch. Vertrauenswürdige Entwicklertools werden kompromittiert, weil Angreifer auf die blinde Installation von Abhängigkeiten setzen.

Laut Sicherheitsforschern von Endor Labs ist der LiteLLM-Angriff Teil einer koordinierten Kampagne. Sie umfasst fünf Ökosysteme: GitHub Actions, Docker Hub, npm, Open VSX und PyPI. TeamPCP hat laut The Hacker News auf Telegram angekündigt, weitere Angriffe zu fahren und mit anderen Gruppen zusammenzuarbeiten.