關鍵數字：每月下載量高達 9,700 萬次的開源介面 LiteLLM，近日驚傳遭供應鏈攻擊，導致兩個版本從 PyPI 下架。這起事件凸顯了開源工具在 CI/CD 流程中的潛在風險，引發廣泛資安疑慮，用戶應立即採取防護措施。
📊 數據總覽：LiteLLM 供應鏈攻擊關鍵數據
這起針對 LiteLLM 的供應鏈攻擊，揭露了幾個關鍵數據與時間點，值得所有開發者與企業高度關注：
- 受影響版本：LiteLLM v1.82.7 與 LiteLLM v1.82.8 兩個版本已從 PyPI（Python Package Index）下架。
- 惡意元件：被植入竊取憑證程式碼的元件檔案為 litellm_init.pth。
- 攻擊時間軸：
- 2 月下旬：攻擊者開始利用 Trivy 在 GitHub Actions 環境中的設定錯誤。
- 3 月 19 日：Trivy 遭到破壞，攻擊者 TeamPCP 發布惡意版本 v0.69.4。
- 3 月 22 日：惡意版本 v0.69.5 與 v0.69.6 以 DockerHub 映像形式發布。
- 憑證類型：LiteLLM 的 PYPI_PUBLISH 憑證遭竊，並被用來推送惡意程式碼。
- 潛在洩露範圍：根據 OpenAI 共同創辦人 Andrej Karpathy 關注的資訊，可能洩露的憑證類型包括 SSH keys、AWS/GCP/Azure 憑證、Kubernetes 配置、Git 憑證、環境變數（所有 API keys）、Shell 歷史紀錄、加密貨幣錢包、SSL 私鑰、CI/CD 密鑰與資料庫憑證。
數據解讀：Trivy 成供應鏈破口
這起事件的有趣之處在於，攻擊者並非直接鎖定 LiteLLM，而是透過其 CI/CD 管道中使用的漏洞掃描工具 Trivy 作為突破口。根據維護 LiteLLM 的 Berri AI 執行長 Krrish Dholakia 的說法，這次入侵似乎就是源於專案 CI/CD 管道中使用的 Trivy 工具。話說回來，Trivy 可是由 Aqua Security 維護的知名漏洞掃描工具，許多專案都將它作為安全機制的重要環節。然而，根據 Aqua Security 團隊的調查，攻擊者「TeamPCP」卻能利用 Trivy 在 GitHub Actions 環境中的設定錯誤，成功竊取一個具有高權限的存取憑證，進而操控整個 CI/CD 流程，這無疑是對現有安全防線的一大警示。
數據解讀：攻擊手法與憑證危機
攻擊者的手法可不是簡單上傳惡意版本而已，他們展現了更為狡猾的策略。Aqua Security 團隊指出，攻擊者透過修改與 trivy-action（GitHub Action 腳本）相關的版本標籤，將惡意程式碼注入組織原本正在執行的工作流程中。為什麼這招有效？因為許多 CI/CD 管道依賴版本標籤來判斷使用哪個版本的工具，而非固定提交，這讓這些流程在底層程式碼已被更動的情況下，仍持續執行且毫無異常跡象，簡直是防不勝防。Krrish Dholakia 也證實，LiteLLM 的 PYPI_PUBLISH 憑證就是這樣被傳送到 Trivy，最終遭攻擊者取得，並被用來推送新的 LiteLLM 程式碼，這直接導致了 PyPI 上的惡意版本發布。
趨勢預測：強化開源供應鏈安全
從這次 LiteLLM 供應鏈攻擊事件中，我們可以預見未來開源軟體供應鏈安全將成為資安領域的重點。Python Packaging Authority（PyPA）已針對 LiteLLM 事件發出安全公告，明確建議「任何曾安裝並執行專案的人，應假設 LiteLLM 環境中可取得的所有憑證可能已遭洩露，應立即進行撤銷或輪替處理」。Krrish Dholakia 也表示，他們已刪除所有 PyPI 發布憑證，並正在檢視帳戶安全性，考慮如何進一步強化，例如使用 JWT 憑證的可信發布機制或改用不同的 PyPI 帳戶。這顯示業界正積極尋求更安全的發布與管理機制，以應對日益複雜的供應鏈攻擊。
數據告訴我們什麼？
這起事件明確告訴我們，即使是廣受信任的開源工具和嚴謹的 CI/CD 流程，也可能成為惡意攻擊者的目標。供應鏈攻擊的複雜性與隱蔽性正在提升，不再僅限於直接篡改原始碼，而是轉向利用流程中的信任鏈條和配置漏洞。因此，企業和開發者不能再將開源工具視為理所當然的安全，而必須將其納入全面的資安審查範圍。我們應定期審核 CI/CD 環境的配置、實施最小權限原則、強化憑證管理（例如使用更安全的 JWT 機制），並考慮導入自動化的供應鏈安全掃描工具，才能有效降低類似風險。畢竟，在數位時代，信任鏈中的任何一個環節都可能成為關鍵的破口。
