LiteLLM-hack raakt 2.500 bedrijven via één pakket

Een besmette versie van LiteLLM, de open source koppellaag waarmee softwareteams hun applicaties op taalmodellen aansluiten, heeft mogelijk meer dan 2.500 bedrijven en zo’n 434.000 CI/CD-pipelines blootgesteld. Beveiligingsbedrijf CloudSEK publiceerde het onderzoek op 11 augustus. De aanval zelf dateert al van maart.

Twee versies, veertig minuten online

Volgens CloudSEK plaatste de aanvallersgroep TeamPCP in maart 2026 twee vergiftigde LiteLLM-releases op PyPI, versies 1.82.7 en 1.82.8. Ze stonden er maar zo’n veertig minuten, lang genoeg om via geautomatiseerde bouwprocessen door te dringen tot bedrijfsomgevingen wereldwijd. De ingang was niet LiteLLM zelf: de aanvallers hadden eerst de beveiligingsscanner Trivy in de bouwstraat gecompromitteerd, die daarna nog ongeveer twintig dagen besmet bleef. Ook Checkmarx KICS wordt in het rapport genoemd.

De malware richtte zich op inloggegevens. Alles waar het bouwproces bij kon, cloudsleutels, repository-tokens, Kubernetes-configuraties en API-sleutels van modelaanbieders, kon worden weggeschreven. Onder de organisaties die CloudSEK met hoge zekerheid in zijn dataset terugvond staan AWS, Cisco, Salesforce, Samsung, NVIDIA en X Corp, plus tientallen partijen uit de financiële sector, telecom, industrie en defensie.

Waarom juist deze bibliotheek

LiteLLM is bij veel teams de plek waar alle modelverkeer samenkomt. De bibliotheek vertaalt aanvragen naar OpenAI, Anthropic, Google en tientallen andere aanbieders naar één formaat, wat betekent dat de sleutels voor al die diensten er vaak doorheen lopen. Een pakket dat zo dicht bij de sleutelbos zit, levert bij een inbraak veel meer op dan een willekeurige dependency. Dat de groei van AI-agenten binnen bedrijven hard gaat, vergroot het aantal plekken waar zulke koppellagen draaien.

De FBI waarschuwde op 2 juli al in een FLASH-advisory dat de gestolen gegevens nog actief gebruikt kunnen worden. Dat is het vervelende aan dit type incident: het verwijderen van het pakket lost niets op als de sleutels al buiten liggen. CloudSEK adviseert bedrijven om te controleren of ze de betreffende versies hebben gedraaid, alle bereikbare credentials te roteren, omgevingen opnieuw op te bouwen vanaf schone bronnen en logboeken na te lopen op onbekende repositories.

Wat betekent dit

De aandacht voor AI-veiligheid gaat meestal naar de modellen: kunnen ze ontsporen, laten ze zich misleiden, houden ze zich aan de afspraken tijdens veiligheidstests. Deze zaak zit een laag lager en is daarmee ook praktischer. De zwakke plek was een gewone Python-package in een bouwstraat, precies zoals bij eerdere incidenten met modelplatformen. Wie AI in productie draait, erft de hele toeleveringsketen eronder.

Voor Nederlandse organisaties is de vraag concreet: draait er ergens een LiteLLM-proxy, en weet iemand welke versie? Bij veel bedrijven is zo’n koppellaag ooit door één team neergezet en daarna nooit meer bekeken. Een softwarelijst bijhouden en sleutels periodiek vervangen kost weinig en scheelt hier alles. Aan de andere kant van de tafel worden dezelfde modellen inmiddels ingezet om aanvallen te vinden, zoals bij het cybermodel dat OpenAI aan verdedigers gaf. Wat die verdedigers niet oplossen, is een sleutel die al maanden onderweg is.