발단은 3월 19일 취약점 스캐너 Trivy의 GitHub Actions 설정이 뚫린 일이었어요. 공격자들은 거기서 훔친 토큰으로 3월 24일 PyPI에 LiteLLM 1.82.7·1.82.8을 올렸고, 40분 남짓 살아 있던 이 두 판은 파이썬이 켜질 때 저절로 도는 .pth 파일을 심어 클라우드 키·SSH 키·쿠버네티스 토큰에 LLM 제공사 API 키까지 긁어갔어요. 8월 12일 CloudSEK가 공격자들이 챙긴 파일 43만여 건을 뜯어 노출 가능성이 있는 기업 2,500곳 명단을 열었는데, 엔비디아·삼성전자·시스코·지멘스가 거기 있어요.
용어 풀이
- PyPI
- 파이썬 패키지를 올리고 내려받는 공식 저장소
- SSH
- 서버에 원격 접속할 때 쓰는 표준 방식. 열쇠 파일로 로그인한다
- SHA
- 커밋마다 붙는 고유 식별 문자열. 태그와 달리 나중에 다른 곳을 가리키게 바꿀 수 없다
운영자 인사이트
LiteLLM은 회사가 쓰는 모든 모델 API 키를 한 자리에 모아 두는 관문이라, 한 번 뚫리면 오픈AI·앤트로픽·베드록 키가 통째로 나가요. 3월 말 빌드 기록에 1.82.7·1.82.8이 스쳤는지부터 확인하고, GitHub Actions는 태그가 아니라 커밋 SHA로 고정해 두세요.
여러 관점으로 보기
- 조사 원본 명단에 올랐다고 침해가 확정된 건 아니라고 못 박으면서, 우리 회사가 걸렸는지 조회해 볼 무료 확인 도구를 같이 열었어요. CloudSEK
- 왜 하필 이 패키지인가 LiteLLM엔 회사가 쓰는 모든 모델 제공사의 키가 들어 있고, 감시 대상 클라우드 환경의 36%에 이미 깔려 있었어요. SANS Institute
- 번져 간 경로 3월 19일 Trivy가 뚫린 뒤 체크막스 KICS를 거쳐 닷새 만에 LiteLLM까지 갔어요 — 검사 도구가 통로였어요. Arctic Wolf