這起由 TeamPCP（Google 追蹤編號為 UNC6780）發起的供應鏈攻擊，揭示了現代軟體開發環境中，單一依賴項被污染如何產生連鎖反應，最終導致數千家組織的敏感資訊外洩。此次事件的核心在於攻擊者利用了 Trivy 掃描工具的漏洞，進而滲透到 LiteLLM 等其他開源專案的發佈流程中，將惡意程式碼植入 Python 套件索引 PyPI 中。
背景與攻擊路徑
事件的起點是針對 Aqua Security 公司旗下 Trivy 掃描器的攻擊。Trivy 是一個廣泛用於掃描容器映像檔與檔案系統漏洞的開源工具。攻擊者在 3 月 19 日透過不完全的憑證輪替漏洞取得了存取權限，隨後對 76 個 Trivy Action 版本標籤以及所有 setup-trivy 標籤進行了強制推送（force-push）惡意提交，並發佈了包含後門的 Trivy 0.69.4 版本。
這次針對 Trivy 的攻擊被賦予 CVE-2026-3364 漏洞編號，並被美國 CISA 列入已知被利用的漏洞目錄。然而，這僅僅是攻擊的第一階段。攻擊者在滲透 Trivy 的過程中，獲取了能夠發佈 PyPI 套件的 API 令牌（API Tokens），這使得他們能夠將惡意程式碼注入到與 Trivy 無關的其他流行套件中，其中最顯著的受害者便是 LiteLLM。
LiteLLM 惡意版本的運作機制
LiteLLM 是一個開源的 AI 閘道器，旨在讓應用程式能統一介面連接多個不同的大型語言模型（LLM）提供商。在 3 月 24 日，攻擊者利用竊得的令牌，在 PyPI 上發佈了 1.82.7 與 1.82.8 兩個惡意版本。雖然這兩個版本僅在平台上存在約 40 分鐘就被 PyPI 隔離，但其造成的潛在影響極其深遠。
惡意版本 1.82.8 包含一個名為 litellm_init.pth 的特殊檔案。在 Python 的運作機制中，.pth 檔案會在解釋器啟動時自動處理，這意味著只要該環境中安裝了此版本，無論開發者是否在程式碼中 import LiteLLM，惡意程式碼都會在 Python 啟動時立即執行。
該惡意程式的主要目標是竊取環境變數與機敏金鑰，包括 OpenAI 與 Anthropic 的 API 金鑰、SSH 金鑰、Kubernetes 令牌（Tokens）以及資料庫密碼。這些被竊取的資料會被加密後發送到攻擊者控制的域名 models.litellm[.]cloud。值得注意的是，許多組織可能並未主動安裝 LiteLLM，但由於該套件可能是某些 AI 代理框架或編排工具的間接依賴項（Transitive Dependency），只要未對版本進行嚴格鎖定（Pinning），系統就可能在不知情的情況下下載並執行惡意版本。
影響規模與實務意義
威脅情報公司 CloudSEK 分析了攻擊者截獲的約 43 萬個檔案，發現潛在受影響的組織超過 2,500 家，其中包括 NVIDIA、Cisco、Deloitte、Volkswagen、FedEx、Siemens 及 X Corp 等知名企業。雖然 CloudSEK 強調這並非最終受害者名單，但其分析顯示大量 CI/CD 執行環境的身分資訊已外洩。
此次攻擊的嚴重性在於「長效憑證」的風險。FBI 在相關警告中指出，即使惡意套件已被移除，但在污染期間被竊取的靜態雲端金鑰、SSH 金鑰或發佈令牌，只要沒有經過輪替（Rotate）或撤銷（Revoke），攻擊者在數月甚至數年後依然可以使用這些憑證重新進入系統。
事實證明，此攻擊已造成實質損害。Checkmarx 表示其 GitHub 儲存庫因此遭到未經授權的存取並被植入惡意產出物；歐洲委員會（European Commission）的一個 AWS 帳戶也被確認遭到入侵，導致約 91.7 GB 的壓縮數據外洩。
限制與防禦建議
面對此類供應鏈攻擊，單純更新套件版本是不夠的。由於攻擊者獲取的是系統權限金鑰，防禦重點必須從「軟體更新」轉移到「憑證管理」。
首先，組織應檢查在 3 月 24 日 10:39 至 16:00 UTC 之間是否安裝過 LiteLLM 1.82.7 或 1.82.8 版本。其次，最關鍵的步驟是強制輪替所有在受影響系統中可存取的機敏金鑰，包括雲端 API 密鑰、SSH 金鑰與資料庫密碼。
從長期技術路徑來看，Aqua Security 與 FBI 均建議開發團隊放棄使用長效靜態令牌（Long-lived Tokens），轉而採用臨時憑證（Temporary Credentials）或短期權限令牌。這樣即使在供應鏈遭到污染時，被竊取的憑證也會在短時間內失效，大幅降低攻擊者的利用窗口。此外，在 CI/CD 流程中對依賴項採取嚴格的雜湊值驗證（Hash Verification）與版本鎖定，能有效防止此類透過 PyPI 快速替換版本的攻擊手段。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。