IA · 13 agosto 2026 · 4 min di lettura
Falla nella supply chain dell'IA: oltre 190 terabyte di credenziali aziendali finiscono in rete dopo il compromesso di LiteLLM
In sintesi: Un imponente attacco alla catena di fornitura software ha colpito LiteLLM, diffusa libreria open source usata per unificare le API dei modelli linguistici, portando alla fuga di 195 Terabyte di credenziali aziendali riservate. L'infezione, originata da un pacchetto compromesso su PyPI, ha colpito oltre 2.500 organizzazioni ed esposto oltre 430.000 pipeline di sviluppo CI/CD.
di Team Mocchi's
L'impetuosa corsa all'adozione dell'intelligenza artificiale nei flussi di sviluppo software ha appena mostrato il suo fianco più vulnerabile. Un drammatico attacco alla supply chain ha colpito LiteLLM, una delle librerie open source Python più diffuse per l'orchestrazione e l'unificazione delle chiamate API verso i modelli linguistici di grande taglia (LLM). L'incidente ha spalancato le porte dei sistemi interni di migliaia di aziende, portando all'exfiltration di ben 195 Terabyte di dati riservati, contenenti chiavi di accesso ai cloud aziendali, token di repository e credenziali di pubblicazione.
L'episodio mette a nudo quanto la fretta di integrare componenti di IA nel ciclo di vita del software stia superando le normali prassi di sicurezza e controllo delle dipendenze, trasformando gli strumenti pensati per velocizzare lo sviluppo in cavalli di Troia per i cybercriminali.
Un'infezione a catena propagata in soli 40 minuti
Come spiega Ars Technica, l'attacco non ha colpito direttamente la logica dell'IA, ma si è mosso lungo la catena di fornitura del software. L'infezione originale ha riguardato Trivy, un celebre strumento di scansione delle vulnerabilità impiegato nelle pipeline di Continuous Integration e Continuous Delivery (CI/CD). Attraverso la compromissione di Trivy, gli attaccanti sono riusciti a iniettare codice malevolo nel registro ufficiale PyPI (Python Package Index), infettando varie librerie tra cui LiteLLM, KICS e il SDK Python di Telnyx.
A rendere l'accaduto particolarmente inquietante è la coordinazione e la rapidità dell'impatto: la finestra temporale in cui la versione compromessa di LiteLLM è rimasta scaricabile su PyPI è durata appena 40 minuti nel mese di marzo. Ciononostante, dato l'elevatissimo livello di automazione dei moderni sistemi di build che scaricano pacchetti aggiornati ad ogni esecuzione, quella manciata di minuti è bastata per infettare oltre 2.500 organizzazioni e oltre 434.000 pipeline di sviluppo in tutto il mondo.
Le società di cybersicurezza CloudSEK e Hudson Rock hanno individuato l'imponente file di exfiltration da 195 Terabyte contenente il materiale sottratto. Il codice malevolo presente nella libreria infetta eseguiva uno scraping mirato della memoria volatile dei server e delle macchine di build durante l'esecuzione, catturando al volo le variabili d'ambiente prima di trasmetterle a server controllati dagli attaccanti.
Chiavi di rete e segreti aziendali nel mirino
L'analisi dei dati trafugati rivela una mappa dettagliata dell'infrastruttura IT di centinaia di multinazionali e startup. Nel materiale esfiltrato sono state rinvenute chiavi di accesso ad ambienti Amazon Web Services e Microsoft Azure, credenziali Kubernetes, token di accesso a GitHub, chiavi di autenticazione per fornitori di IA come OpenAI e Anthropic, e segreti di configurazione per piattaforme enterprise tra cui Salesforce e Slack.
Tra le aziende le cui credenziali sono state esposte figurano nomi del calibro di Microsoft, Amazon, Cisco, Samsung e Salesforce. L'attacco è stato rivendicato dal collettivo noto come TeamPCP, un gruppo prevalentemente formato da hacker giovanissimi ma dalle spiccate abilità tecniche. Il ricercatore indipendente Kevin Beaumont ha confermato la veridicità del leak, sottolineando come la causa primaria del disastro risieda in una grave disattenzione DevOps: l'ossessione per il rilascio rapido di funzionalità basate su IA ha portato molte organizzazioni a sottovalutare i basilari controlli di sicurezza sulle dipendenze di terze parti.
La vulnerabilità dei wrapper nell'era dell'IA
LiteLLM e pacchetti analoghi svolgono la funzione di "wrapper", ossia intermediari che semplificano l'integrazione di molteplici modelli linguistici sotto un'unica interfaccia standardizzata. Proprio per questa loro posizione centrale nei flussi di lavoro moderni, tali pacchetti gestiscono e memorizzano di frequente token di API altamente privilegiati e variabili d'ambiente critiche.
Quando uno strumento di questa portata viene compromesso alla radice, il malware ottiene l'accesso immediato a tutto ciò che la macchina di build sta elaborando in quel momento. La tecnica di memory scraping utilizzata da TeamPCP ha dimostrato che persino i secret caricati temporaneamente in memoria per la sola durata di un job di CI/CD possono essere intercettati ed esfiltrati prima che la macchina virtuale venga distrutta.
Il punto di Mocchi's
L'incidente di LiteLLM dimostra con disarmante chiarezza che la sicurezza dell'intelligenza artificiale non si limita alla protezione dei prompt o all'allineamento dei modelli, ma parte dalla rigorosa governance della supply chain software. Per le aziende italiane che stanno accelerando sull'adozione dell'IA, affidarsi a pacchetti e wrapper open source senza un'adeguata strategia di controllo rappresenta un rischio calcolato male. Nei nostri progetti di sviluppo custom e integrazione IA, applichiamo un principio fondamentale: le dipendenze esterne devono essere sempre censite, verificate e isolate tramite repository interni mirrorati, affiancati da politiche stringenti di rotazione automatica dei secret e minimo privilegio nelle pipeline di build. L'efficienza garantita dalle librerie open source è preziosa, ma non deve mai andare a scapito della sovranità e della sicurezza dei dati aziendali.