一次针对开源人工智能开发工具的供应链攻击，在短短 40 分钟内窃取了数 TB 级别的凭证数据，波及超过 2500 家机构与约 43.4 万条持续集成与持续交付（CI/CD）流水线。安全公司 CloudSEK 与 Hudson Rock 于本周二、周三先后披露了这一事件，微软、亚马逊、思科、三星、Salesforce 等企业的访问密钥均在泄露之列。

一次投毒，波及全球

遭到投毒的是 LiteLLM——一款用于简化人工智能驱动软件开发的开源工具。攻击者在 3 月将带毒版本上传至该软件在 Python 软件包索引（PyPI）的官方分发位置，任何在此期间下载并运行受感染版本的用户，其机器内存中的敏感内容都会被读取并外传。

被窃数据种类繁多，涵盖云密钥、代码仓库令牌、SSH 密钥、Kubernetes 密钥、软件包发布凭证、环境变量，以及各大人工智能服务提供商的接口密钥。根据两家公司的高置信度名单，受影响的企业还包括英伟达、AWS、西门子、ServiceNow、罗氏、大众汽车、联邦快递、空客美国航天与防务、汤森路透、Epic Games、渣打银行等数十家机构。

40 分钟的窗口

整个窃取过程发生在 3 月一个仅约 40 分钟的活动窗口内。Hudson Rock 表示，其团队是在分析一份体量达 195TB 的文件后发现了这次泄露。受感染的并非 LiteLLM 一款软件：此次行动还波及漏洞扫描器 Trivy、基础设施即代码检查工具 KICS，以及 Telnyx 的 Python SDK。一个名为 TeamPCP、主要由青少年构成的黑客团伙声称对攻击负责，研究人员也基本证实了这一说法。

{inline_md(x)}

为什么影响如此之大

许多 CI/CD 流水线采用了通用配置，导出的变量里往往包含仍在生效的数据库密码、第三方接口密钥和云凭证，且没有任何可识别的企业邮箱或内部服务器名。这意味着大量机构对自己凭证已经暴露毫不知情。

Hudson Rock 首席技术官阿隆·加尔（Alon Gal）在邮件中表示，上游一次被攻陷，就能同时牵连成千上万家下游企业，「一次约 40 分钟的依赖被黑，导致了超过 43 万个实例、数以百万计的密钥被收割」。

防护建议

两家公司均呼吁所有使用过受感染版本 LiteLLM 的机构立即轮换全部凭证。Hudson Rock 特别提示，凡是使用人工智能代理基础设施、第三方 CI/CD 漏洞扫描器或下游人工智能软件包的组织，应核查环境中是否存在 LiteLLM 的 1.82.7 与 1.82.8 两个受感染版本，并「强力撤销」所有云密钥、Kubernetes 服务账户令牌，以及 GitHub、GitLab 的个人访问令牌。

CloudSEK 还以 Trivy 开发者的失误作为前车之鉴：开发人员虽然轮换了某个自动化令牌，却在长达 20 天的时间里未能彻底撤销它，结果给攻击者留下了近三周时间，向使用该扫描器的第三方构建强制推送恶意代码。

来源：Ars Technica（作者 Dan Goodin）

攻击机制：分阶段渗透

CrowdStrike高级副总裁、反对手工作负责人亚当·迈尔斯（Adam Meyers）向WIRED透露，该公司尚未将此活动归因于特定威胁行为者，但其手法与已知的攻击组织模式吻合。CrowdStrike将相关活动追踪为”SANDWORM_MODE”行动，认为其与TeamPCP（CrowdStrike追踪代号”Altered Spider”）以及朝鲜黑客组织的活动模式一致。

该蠕虫的攻击过程分为多个阶段：

1. 侦察阶段：评估目标环境及其可用资源，确定可 pursued 的凭证和系统。
2. 凭证窃取：搜索访问令牌、加密密钥和服务器登录凭证，为攻击者打开更深层访问通道。
3. 权限提升：随着权限不断扩大，蠕虫继续自我解包，收集更多敏感数据，特别是npm令牌——这些令牌可访问关键的软件包管理服务器和拉取请求等开发功能。
4. 破坏行动：蠕虫可触发”死亡开关”，销毁目标文件或锁定系统。
5. 检测困境：大海捞针
6. 该蠕虫最令安全团队头疼的特点是其极高的隐蔽性。迈尔斯将其形容为”针堆里找针”（a needle in a needle stack），因为蠕虫的行为与正常的AI编码自动化高度相似。安全工具难以区分恶意遥测数据和正常的AI管道活动。
7. 此外，恶意软件作者还内置了延迟机制——某些功能在初始入侵后数小时甚至数天才执行，进一步模糊了因果关系。CrowdStrike的研究显示，在14种被调查的行为中，仅9种能产生检测信号，而只有2种达到了可向客户发出警报的保真度标准。
8. 蠕虫利用的另一个关键弱点是临时遥测数据的保留周期。开发工作站上48至96小时的延迟意味着初始导入事件和恶意行为发生在不同的遥测窗口中。依赖”包安装”与”可疑行为”关联的检测策略面临的时间差可能超出数据保留期限。
9. 新兴攻击类别的信号
10. “这是我们见过的表明这是一种新兴攻击类别的活动之一，”迈尔斯告诉WIRED。”随着AI编码代理成为开发标准，供应链威胁正在演变为利用这些信任关系。这是我们首次体验到AI和AI工具链在更广泛的技术生态系统中发挥了多大的作用。”
11. CrowdStrike的研究揭示了一个结构性问题：被滥用的工具本身被设计为代表开发者执行任意操作，这不是通过更好的签名或更积极的启发式方法就能轻松弥合的差距。AI工具链行为需要自己的专用基线——如果不了解MCP服务器部署、AI助手配置写入和LLM API密钥使用在特定环境中的”正常”状态，就没有异常检测的基础。
12. CrowdStrike认为，SANDWORM_MODE不是一次性事件，而是一种新兴攻击类别的概念验证。随着AI工具链采用加速，这一威胁类别只会继续扩大。该公司在调查过程中开发的攻击指标已在保护其客户。
13. 这项研究向整个行业发出了一个明确信号：AI开发管道正在成为网络安全的新战场，而防御者目前的能见度远低于攻击面。