30秒で分かる結論

セキュリティ企業CloudSEKは2026年8月11日、多くのAI開発現場で使われているオープンソースのソフトウェア「LiteLLM」が2026年3月に受けたサプライチェーン攻撃(ソフトウェアの部品や供給網を経由して攻撃を仕掛ける手口)について、その影響範囲を追跡した調査結果を公表しました。攻撃者グループ「TeamPCP」が同年3月24日、LiteLLMの配布経路であるPyPI(Pythonのソフトウェア部品を配布する仕組み)に悪意のあるコードを含むバージョンを公開し、約40分後に取り下げられていました。CloudSEKの調査によると、この短時間の公開により2500社超の組織、43万4000件のCI/CDパイプラインぱいぷらいん(ソフトウェアの構築・配布を自動化する仕組み)が影響を受けた可能性があるとされ、NVIDIA、AWS、Cisco、Samsung、Siemensなど著名企業の名前も調査結果に含まれています。LiteLLM自身は3月の時点で侵害を公表し、認証情報の全面的な失効・再発行を行ったと説明しています。

まず初めに

結論から言う。たった40分。コンビニでレジ待ちする時間よりちょっと長い程度の隙に、世界中の名だたる大企業がまとめて巻き込まれた。しかもその発覚までに半年近くかかっている。攻撃者側の手際の良さには舌打ちしたくなるが、それ以上に呆れるのは、これだけの大企業がそろいもそろって「他人が作った無料の部品」に自社のインフラを預けきっていた事実だ。安さと便利さにタダ乗りしておいて、いざ土台が崩れたら「まさか自分たちが」と驚く。その構図、正直何度目だという話だ。※個人の感想です

何が起きているのか

CloudSEKが公表した調査によると、攻撃の起点は2026年3月19日にさかのぼります。ソフトウェアの脆弱性を検査する人気ツール「Trivy」の開発かいはつ用の仕組み(CI/CDパイプラインぱいぷらいん)が何らかの方法で侵害され、そこから発行元の認証情報にんしょうじょうほうが盗まれました。攻撃者グループ「TeamPCP」はこの認証情報を悪用し、100種類を超える生成AIのAPI(サービス同士がデータをやり取りするための窓口)をまとめて呼び出せる仕組みとして広く使われているオープンソース製品「LiteLLM」の配布用アカウントを乗っ取りました。

部品を検査するはずの道具が、逆に侵入口になっていたというオチ。

3月24日午前10時39分(UTC)、TeamPCPはLiteLLMの正規の配布経路であるPyPI上に、悪意のあるコードを仕込んだバージョン「1.82.7」「1.82.8」を公開しました。この2バージョンは、感染した環境のクラウド認証情報・SSHキー・Kubernetesくばねてぃす(複数のサーバーをまとめて管理する仕組み)のシークレットを盗み取る認証情報にんしょうじょうほう窃取機能、社内ネットワーク内で感染を広げるための機能、外部からの指令を待ち受け続ける裏口(バックドア)機能という3段構えの悪意あるコードを含んでいたと報告されています。この脆弱性には「CVE-2026-33634」という識別番号が割り当てられ、深刻度を示すCVSSスコアは10点満点中9.4と、ほぼ最高水準とされています。PyPI側は約40分後にこの2バージョンを隔離しましたが、その間に世界中の開発環境へダウンロード・導入されてしまいました。

an abstract digital illustration of a broken supply chain link made of glowing circuit patterns, no text or logos

LiteLLM自身も同日中に侵害を認める発表を行い、PyPI・GitHub・Dockerなど関連する認証情報をすべて削除・再発行するとともに、メンテナーのアカウントも念のため入れ替える対応を取ったと説明しています。CloudSEKは今回、この3月の侵害が実際にどこまで影響を広げていたのかを、公開されている漏洩ろうえいデータなどをもとに半年近くかけて追跡し、その結果を8月11日に公表しました。

なぜ重要なのか

今回の調査結果が注目されるのは、被害の規模の大きさに加えて、発覚までに半年近くを要した点にあります。CloudSEKが確認した「2500社超・43万4000件のパイプライン」という数字は、盗まれた可能性のある認証情報の痕跡から逆算した推計であり、すべての組織で実際に不正利用があったことを証明するものではないとCloudSEK自身が注記しています。それでも、調査結果に名前が挙がった組織にはNVIDIA、AWS(Amazon Web Services)、Cisco、Samsung、Siemens、Salesforce、ServiceNowなど、AIやクラウド分野を代表する企業が含まれており、米連邦捜査局(FBI)も2026年7月、盗まれた認証情報が今後も悪用される可能性があるとする注意喚起(FLASHアドバイザリー)を出しています。LiteLLMは1日あたり数百万回規模でダウンロードされているとされる人気ツールであり、AIを活用したサービスの「配管」にあたる部分を担っています。この配管の一部が数十分間でも汚染されると、その先につながる無数のサービスに影響が連鎖しうるという構造が、あらためて浮き彫りになりました。

私たちへの影響

LiteLLMは開発者がAIサービスを構築する際に使う裏方のツールであり、一般利用者が直接インストールしたり操作したりするものではありません。そのため、今回の一件を理由に個人が今すぐ何かを設定し直す必要はありません。一方で、CloudSEKの調査結果に組織名が挙がった企業のサービスや、その企業の取引先を経由して間接的に影響が及ぶ可能性は否定できません。普段利用しているサービスから「セキュリティ上の理由でパスワードの再設定をお願いします」といった案内が届いた場合は、こうした開発基盤側のインシデントを受けた対応である可能性もあるため、公式な案内に従って対応することをおすすめします。

初心者が知っておくべきこと

「CI/CDパイプラインぱいぷらいん」とは、開発者が書いたプログラムを自動的に検査・組み立て・配布まで行う一連の仕組みのことです。人の手作業を減らして開発を効率化できる反面、この自動化の仕組みそのものが乗っ取られると、正規の手続きを装って悪意のあるコードを配布経路に紛れ込ませることができてしまいます。

「サプライチェーン攻撃さぷらいちぇーんこうげき」とは、攻撃対象の企業を直接狙うのではなく、その企業が利用する部品・ソフトウェア・取引先といった供給網の弱い箇所を経由して被害を広げる攻撃手口のことです。今回のように、多くの企業が共通して使う無料の部品(オープンソースソフトウェア)が狙われると、一度の侵害で広範囲に影響が及びやすくなります。

よくある質問

Q. LiteLLMを個人で使っていないので、自分には無関係ですか。

一般の消費者がLiteLLMを直接使う場面はほとんどなく、個人としてすぐに取るべき対応はありません。ただし、普段使っているAIサービスの裏側でLiteLLMのような部品が使われているケースは珍しくなく、サービス提供者側の対応状況を通じて間接的な影響が及ぶ可能性はあります。

Q. 企業の情報システム担当者は何を確認すればよいですか。

CloudSEKやLiteLLM公式は、2026年3月24日時点でバージョン1.82.7・1.82.8を導入していた環境について、単にバージョンを最新化するだけでなく、その環境に存在していたクラウド認証情報・SSHキー・APIキーなどをすべて失効させたうえで再発行することを推奨しています。詳細な対応手順は、CloudSEKおよびLiteLLM公式の発表内容を確認することをおすすめします。

IT Postの見方

IT Postでは、今回の一件が示しているのは「無料の部品にタダ乗りする側の責任」だと考えます。NVIDIAやAWSのような、セキュリティに巨額の投資をしているはずの大企業でさえ、たった一つのオープンソースツールの配布アカウントが乗っ取られただけで名前が挙がってしまう。便利な部品を無償で使わせてもらっておきながら、その土台を支える保守・監視には十分な資源を割いてこなかったツケが、こういう形で回ってきているとIT Postは見ます。

もう一つ気になるのは、発覚までに半年近くかかった点です。攻撃自体は40分で終わっていたのに、その全容を把握するのに180倍以上の時間がかかっている。これでは、被害に遭った組織が自分の状況を正確に知るまでの間、無防備な状態が続いていたことになります。オープンソースの土台を支える仕組みそのものへの投資は、便利さの対価として業界全体が負うべき責任だとIT Postは考えます。※個人の感想です

今後どうなりそうか

CloudSEKは今回の調査結果を継続的に更新する方針を示しており、影響を受けた組織の一覧や被害範囲がさらに広がる可能性があります。LiteLLMを含む一連のTeamPCPによる攻撃キャンペーンは、Trivy以外にもnpm・Docker Hub・Open VSXなど複数のソフトウェア配布経路に及んでいるとされ、セキュリティ各社による調査が続いています。IT Postでは、影響範囲や公式な対応状況について続報があれば改めて取り上げます。