LiteLLMとはどんなライブラリですか？

LiteLLMはOpenAI・Anthropic・Google・Mistralなど100以上のAIサービスを統一APIで呼び出せるPythonライブラリです。月間9,700万ダウンロードを誇り、エンタープライズのAIエージェント基盤として広く採用されています。

自分の組織が影響を受けているか確認する方法はありますか？

pip show litellm でバージョンを確認し、1.82.7または1.82.8を使用していた場合は即座に最新版へ更新してください。その後、当該期間（2026年3月24日前後）に使用していた環境のAPIキー・SSHキー・Kubernetesトークン等をすべてローテーションすることが必須です。CloudSEKが提供する無償の影響確認ポータルも利用できます。

なぜ40分間でこれほど多くの組織が被害を受けたのですか？

LiteLLMはCI/CDパイプラインに組み込まれていることが多く、パッケージの更新は自動で行われるケースが多いためです。バージョン固定なしで最新版を自動インストールする設定（pip install litellm --upgrade）を使っているパイプラインでは、悪意あるバージョンが自動適用されました。PyPI上の滞在時間は40分でしたが、CI/CDが動き続けていた分だけ被害が積み上がりました。

AI News 2026年8月13日 15分で読める

LiteLLM攻撃で2,500社・43万パイプライン露出｜2026年最大のAIサプライチェーン侵害

#セキュリティ #LiteLLM #サプライチェーン攻撃 #PyPI #CIパイプライン #AIセキュリティ #Team PCP #脆弱性

「proxy_server.pyにbase64エンコードされた不審なblobが追加されている」。2026年3月24日、Hacker Newsに最初の警告が投稿されたのは午前中だった。投稿者はLiteLLMのコードを読んでいて、明らかに意図的に挿入されたコードを発見した（Hacker News）。

数時間後、GitHubのissueには「We have been pwned by this（やられた）」「This is very, very bad, thousands of people are likely getting pwned right now（非常にまずい、今この瞬間も何千人もの人がやられている）」という声が続いた。

この記事はこんな人におすすめ

LiteLLMをプロジェクトや社内基盤に使っているエンジニア・開発者
AI系OSS（LiteLLM、LangChain、LlamaIndex等）をCI/CDに組み込んでいる組織のセキュリティ担当者
PyPIパッケージの依存関係管理とサプライチェーンリスクに関心のあるDevSecOpsエンジニア

LiteLLMとは何か

LiteLLMはOpenAI・Anthropic・Google・Mistral・Cohereなど100以上のAIモデルを統一された一つのAPIで呼び出せるオープンソースのPythonライブラリだ。企業がClaude CodeやGPT-5などを社内AIエージェントに組み込む際、複数ベンダーを横断する「APIの翻訳機」として機能する。月間ダウンロード数は9,700万を超え、AIエージェント基盤の標準部品として世界中のCI/CDパイプラインに組み込まれている（Cybernews, 2026年8月）。

その普及率が今回の攻撃を「2026年最大のAIサプライチェーン侵害」にした。

攻撃の時系列：Trivyから始まった連鎖

事件の起点はLiteLLMそのものではなく、LiteLLMのCI/CDパイプライン内で使われていたコンテナ脆弱性スキャナー「Trivy」だった。

2026年3月20日、Trivyを開発するAqua Securityが異常を検知した。Trivyのビルドパイプラインで使われていたGitHub Actionsのワークフローが誤って設定されており、攻撃グループ「Team PCP」がCI/CDの認証情報（シークレット）を窃取した。Trivyは以降、悪意あるバイナリを配布し続けた（Arctic Wolf, 2026年8月）。

3月24日、LiteLLMのビルドパイプラインはバージョン固定なしでTrivyを使っていた。この「アンマネージドな依存関係」により、汚染されたTrivyがLiteLLMのPyPI公開用認証情報（signing credentials）を窃取した。

同日UTC10:39頃、Team PCPはLiteLLMの名義でPyPIに悪意あるバージョン1.82.7と1.82.8を公開した。これらのパッケージがPyPI上に存在したのは約40分間で、その間にクラウドAPIキー・SSHキー・Kubernetesトークン・データベースパスワードを根こそぎ収集するインフォスティーラーが仕込まれたパッケージが自動インストールされた（Kaspersky, 2026年）。

CVEはCVE-2026-33634、CVSS4Bスコアは9.4（ほぼ最高水準）が付与された（ReversingLabs, 2026年）。

被害の規模：2,500社・43万4000パイプライン

セキュリティ調査会社CloudSEKが2026年8月11〜12日に公開した報告書によれば、攻撃者が流出させたデータセットには約434,000ファイルが含まれており、2,500社以上のCI/CDパイプラインがこの侵害に晒されていた可能性がある（CloudSEK, 2026年8月）。

流出した認証情報は圧縮で300GB超に上り、影響を受けた企業IDは約50万件と推定される。

高信頼度でのマッチが確認された組織には以下が含まれる。

組織名	業種
NVIDIA	半導体・AI
Amazon Web Services (AWS)	クラウド
Cisco Systems	ネットワーク
Salesforce	エンタープライズSaaS
Siemens AG	製造・インフラ
X Corp（旧Twitter）	SNS
Orange S.A.	通信

また、The Hacker Newsの報告では日本国内の金融・通信企業も調査対象に含まれている可能性が示唆されているが、国内での具体的な被害公表は2026年8月13日時点では確認されていない（The Hacker News, 2026年8月）。

FBIは2026年7月にFLASHアドバイザリーを発し、「盗まれた認証情報は将来のサイバー攻撃に再利用される可能性がある」と警告していた。CloudSEKの開示はそれから1ヶ月後のことだった。

なぜここまで広がったのか：AI基盤の脆弱な構造

今回の侵害が他のサプライチェーン攻撃と一線を画すのは、LiteLLMがAIエコシステムの「配管」に当たるライブラリだからだ。

LiteLLMを通じてOpenAIのAPIキー・AnthropicのAPIキー・AWSのIAM認証情報が一元管理されているケースが多い。つまり、LiteLLMへのアクセスは複数のAIプロバイダーのキーへの横断的なアクセスを意味する。盗まれた認証情報が活用されれば、組織のAIエージェント全体が乗っ取られる可能性がある。

さらに問題を深刻にしたのは、「LiteLLMはCIが自動更新する」という運用実態だ。多くの組織がバージョンを固定せずpip install litellm --upgradeを使っており、悪意あるバージョンが公開されてからの40分間で自動的にインストールが走った。セキュリティツールであるはずのTrivyが侵害の起点になったこともコミュニティに衝撃を与えた（Cato Networks, 2026年）。

「AIの普及がOSSの依存関係を爆発的に増やしている。しかしセキュリティプラクティスはまだ追いついていない」。Cybernewsのインタビューでセキュリティ研究者が語ったこの言葉は、AIスタック全体に通じる警告だ（Cybernews, 2026年8月）。

光と影：LiteLLMコミュニティの対応

LiteLLMプロジェクト側の対応は迅速だった。侵害が報告されてから数時間以内に悪意あるバージョンはPyPIから削除され、メンテナーはGitHubで謝罪と経緯の説明を公開した。現行バージョンはCloudSEKによる監査を経てクリーンであることが確認されている。

一方で批判も根強い。「LiteLLMのようなセキュリティクリティカルな基盤でなぜバージョン固定がされていなかったのか」という指摘は、LiteLLM固有の問題ではなくPythonのOSSエコシステム全体の慣行の問題でもある。pip-auditやDependabot、Supply-chain Levels for Software Artifacts（SLSA）といったサプライチェーン検証ツールの導入を怠っていた組織は多かった。

Hacker Newsのスレッドでは「今回の件でAIスタックのゼロトラスト設計を本気で考え直した」「依存関係のロックファイルをCIに強制するべきだった」という声が多く上がった（Hacker News）。

今すぐできる5つの対策

バージョン確認と更新: pip show litellm でバージョンを確認。1.82.7・1.82.8を使用していた環境は直ちに最新版へ更新する
認証情報のローテーション: 当該期間（2026年3月24日前後）にLiteLLMを使った環境のAPIキー・SSHキー・Kubernetesトークン・DBパスワードをすべて無効化・再発行する
バージョン固定の徹底: requirements.txt や pyproject.toml で litellm==x.x.x と明示的に固定し、--upgrade フラグの無条件使用を禁止する
依存関係の監査ツール導入: pip-audit・Dependabot・SBOMの生成を定期化する
CloudSEK影響確認ポータルの活用: CloudSEKは無償の影響確認ツールを提供している。自組織が漏洩データセットに含まれるか確認できる

LiteLLM侵害のインシデント対応チェックリスト

即時対応（24時間以内）:

pip show litellm でバージョンを確認。1.82.7/1.82.8なら最新版へ更新
CI/CDログを2026年3月20〜30日の範囲でレビューし、当該バージョンのインストール記録を確認
影響期間内に使用した全APIキー・SSHキー・トークンをローテーション
CloudSEKの開示ポータルで自組織のドメインを照合

中期対応（1〜2週間以内）:

requirements.txtまたはpyproject.tomlでLiteLLMのバージョンを明示固定
pip-auditをCI/CDに統合してパッケージスキャンを自動化
SBOMの生成・管理プロセスを確立する
Dependabotのアラート設定を強化する

AIセキュリティの最新動向を追いたい開発者・セキュリティ担当者へ

LiteLLMのような事例はAI基盤のサプライチェーンリスクを浮き彫りにした。AIエージェントの普及とともにセキュリティの重要性は増している。関連記事でAIセキュリティの最新動向を確認しよう。

AIセキュリティ関連記事を読む

本記事の情報は2026年8月13日時点のものです。インシデントの調査は継続中であり、新たな情報が明らかになった場合は更新します。影響を受けた可能性がある組織は、CloudSEKおよびFBIのアドバイザリーを参照の上、専門のセキュリティ担当者に相談することを推奨します。