LiteLLM wurde nach CloudSEKs Rekonstruktion nicht direkt angegriffen. Ein zuvor kompromittierter Trivy-Scanner konnte etwa 20 Tage lang mit einem nur teilweise widerrufenen Automatisierungs-Token manipuliert werden. LiteLLMs Pipeline lud den Scanner ungepinnt nach und veröffentlichte dadurch die Versionen 1.82.7 und 1.82.8.
Der Schadcode steckte in einer .pth-Datei, die beim Start von Python ausgeführt wird. Eine Installation genügte; das Paket musste nicht importiert werden. Abgegriffen werden konnten SSH-Schlüssel, Cloud-Zugangsdaten, Kubernetes-Token, Umgebungsdateien, CI/CD-Geheimnisse sowie LLM-API-Schlüssel und Gateway-Konfigurationen.
CloudSEK nennt mehr als 2.500 Unternehmen und rund 434.000 potenziell betroffene Pipelines. Die Zahlen sind eine eigene Rekonstruktion des Sicherheitsanbieters; Aufräumstand und tatsächliche Downloads der Schadversionen bleiben offen. Die oft genannte Datenmenge von Terabytes ist nicht belegt.