# Бэкдор в пакете LiteLLM на PyPI: кража ключей облаков и AI-сервисов

> Группировка TeamPCP опубликовала на PyPI две вредоносные версии LiteLLM — популярного шлюза к API языковых моделей, который по данным Wiz присутствует в 36% облачных сред. Доступ к публикации был получен через ранее скомпрометированный сканер безопасности Trivy в CI/CD проекта. Вредоносный код собирал облачные ключи, секреты CI/CD и токены Kubernetes.

- Канонический HTML: [/incidents/litellm-pypi-backdoor-teampcp](https://ai-first.tech/incidents/litellm-pypi-backdoor-teampcp)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- Дата: 2026-03-24
- Категория: Цепочка поставки
- Затронуто: Пользователи Python-библиотеки LiteLLM (шлюз к LLM API), установившие версии 1.82.7 и 1.82.8 с PyPI
- Критичность: Критический

## Что произошло

19 марта 2026 года TeamPCP скомпрометировала сканер Trivy, который использовался в CI/CD LiteLLM, и получила оттуда токен для публикации. 24 марта на PyPI появились версии 1.82.7 и 1.82.8, загруженные в обход штатного конвейера сборки. По данным Wiz, пакеты были опубликованы около 8:30 UTC и помещены PyPI в карантин в 11:25 UTC; проект LiteLLM оценивает окно доступности примерно в 40 минут. В 1.82.7 вредоносный код находился в модуле прокси-сервера, в 1.82.8 добавлен файл .pth, который исполняется при каждом запуске интерпретатора Python. Собранные данные шифровались и отправлялись на поддельный домен, имитирующий проект. 30 марта проект выпустил чистую версию 1.83.0 через новый конвейер.

## Где нарушилась защита

Граница доверия была нарушена дважды: инструмент безопасности в CI/CD сам оказался скомпрометирован и раскрыл токен публикации, а пользователи без фиксации версий автоматически получили новый релиз. Шлюз к LLM по своей роли хранит ключи многих AI-провайдеров и облаков, поэтому заражение именно этого компонента давало доступ к большому числу секретов. Механизм .pth расширял действие закладки на любые Python-процессы в среде, а не только на сам LiteLLM.

## Последствия

- Вредоносные версии собирали переменные окружения, SSH-ключи, учётные данные AWS, GCP и Azure, токены Kubernetes и пароли баз данных
- Под угрозой оказались все, кто установил незафиксированную версию через pip в окно атаки, в том числе как транзитивную зависимость
- По данным Datadog, вредоносный код устанавливал механизм закрепления и мог создавать привилегированные поды в Kubernetes
- Пользователи официального Docker-образа LiteLLM Proxy, по данным проекта, не пострадали благодаря зафиксированным зависимостям

## Реакция

PyPI поместил пакеты в карантин, проект удалил их, сменил учётные данные мейнтейнеров, привлёк Mandiant, ввёл подпись Docker-образов и новый изолированный конвейер CI/CD.

## Уроки для бизнеса

- AI-шлюзы и прокси концентрируют ключи многих провайдеров и требуют защиты как критичные системы
- Инструменты безопасности в конвейере сборки сами являются частью цепочки поставки
- Фиксация версий и проверка хэшей зависимостей снижает риск автоматического получения вредоносного релиза
- Скорость реакции реестра пакетов не заменяет собственный контроль входящих зависимостей

## Меры защиты

- Фиксация версий и хэшей зависимостей, установка через внутренний прокси-репозиторий с задержкой новых релизов
- Хранение ключей LLM-провайдеров в менеджере секретов с коротким сроком жизни и быстрой ротацией
- Доверенная публикация (Trusted Publishing) вместо долгоживущих токенов в CI/CD
- Контроль исходящего трафика серверов с AI-шлюзами
- Инвентаризация AI-компонентов и SBOM для быстрого поиска затронутых систем

Связанные карточки угроз: A47, A09, A32

## Первоисточники

- [Security Update: Suspected Supply Chain Incident](https://docs.litellm.ai/blog/security-update-march-2026) — LiteLLM
- [Three's a Crowd: TeamPCP Trojanizes LiteLLM in Continuation of Campaign](https://www.wiz.io/blog/threes-a-crowd-teampcp-trojanizes-litellm-in-continuation-of-campaign) — Wiz
- [LiteLLM and Telnyx compromised on PyPI: Tracing the TeamPCP supply chain campaign](https://securitylabs.datadoghq.com/articles/litellm-compromised-pypi-teampcp-supply-chain-campaign/) — Datadog Security Labs