นักวิจัยด้านความปลอดภัยได้ระบุสิ่งที่พวกเขาเรียกว่าเป็นเหตุการณ์ การเจาะห่วงโซ่อุปทาน AI ที่ใหญ่ที่สุด ที่ถูกเปิดเผยจนถึงตอนนี้ในปี 2026 และตัวเลขที่อยู่เบื้องหลังก็น่าตกตะลึง ตามข้อมูลของบริษัทข่าวกรองภัยคุกคาม CloudSEK การเจาะระบบที่เชื่อมโยงกับโปรเจกต์ LiteLLM ซึ่งถูกใช้งานอย่างแพร่หลาย อาจส่งผลกระทบต่อมากกว่า 2,500 บริษัท และประมาณ 434,000 ท่อส่ง CI/CD ทั่วโลก ขนาดของเหตุการณ์เพียงอย่างเดียวก็ทำให้กรณีนี้กลายเป็นหนึ่งในเหตุการณ์ห่วงโซ่อุปทานซอฟต์แวร์ที่ส่งผลกระทบมากที่สุดต่อระบบนิเวศ AI และผลกระทบที่ตามมาก็ยังคงถูกจัดการอยู่หลายเดือนให้หลัง
Summary
ประเด็นสำคัญ
- ชุดข้อมูลการเปิดเผยที่ CloudSEK สร้างขึ้นใหม่ระบุว่า มากกว่า 2,500 บริษัท และ 434,000 ท่อส่ง CI/CD อาจถูกเปิดเผยในเหตุการณ์เจาะระบบครั้งนี้
- กลุ่มผู้โจมตีที่รู้จักกันในชื่อ Team PCP เป็นผู้วางแผนการโจมตีในเดือนมีนาคม 2026 โดยการเจาะแพ็กเกจ LiteLLM บน PyPI เวอร์ชัน 1.82.7 และ 1.82.8
- จุดเริ่มต้นของการเจาะคือเครื่องมือสแกนความปลอดภัย Trivy ที่ใช้ภายในท่อสร้าง (build pipeline) ของ LiteLLM ซึ่งถูกเจาะและอยู่ในสภาพนั้นประมาณ 20 วัน
- ข้อมูลที่ถูกขโมยมีรายงานว่ารวมถึงกุญแจคลาวด์ โทเคนของรีโพซิทอรี กุญแจ SSH ความลับของ Kubernetes ข้อมูลรับรองสำหรับเผยแพร่แพ็กเกจ ตัวแปรสภาพแวดล้อม และกุญแจของผู้ให้บริการ AI
- FBI ได้ออกคำเตือนแบบ FLASH ในเดือนกรกฎาคม 2026 เตือนว่าข้อมูลรับรองที่ถูกขโมยไปยังสามารถถูกนำไปใช้เป็นอาวุธสำหรับการโจมตีในอนาคตได้
เหตุการณ์การเจาะห่วงโซ่อุปทาน AI ที่ใหญ่ที่สุดในปี 2026 เปิดเผยข้อมูลของบริษัทมากกว่า 2,500 แห่ง
การสืบสวนของ CloudSEK ชี้ไปที่การเจาะระบบ ที่มีขนาดใหญ่พอจะ แทรกซึมเข้าไปในท่อซอฟต์แวร์ ขององค์กรนับพันแห่ง ซึ่งหลายแห่งไม่มีความสัมพันธ์โดยตรงกับโปรเจกต์ที่ถูกเจาะ นอกจากการใช้มันเป็น dependency นั่นคือธรรมชาติของห่วงโซ่อุปทานซอฟต์แวร์สมัยใหม่: แพ็กเกจที่ถูกวางยาหนึ่งตัวสามารถส่งผลกระทบเป็นวงกว้างไปยังบริษัทที่ไม่เกี่ยวข้องนับไม่ถ้วน
องค์กรที่โดดเด่นซึ่งถูกระบุชื่อในชุดข้อมูลการเปิดเผย
ในบรรดาองค์กรที่ CloudSEK ระบุว่าเป็นการจับคู่ที่มีความเชื่อมั่นสูงในชุดข้อมูลการเปิดเผย ได้แก่ NVIDIA, Amazon Web Services (AWS), Cisco Systems, Salesforce, Siemens AG, X Corp (Twitter) และ Orange S.A. รวมถึงองค์กรระดับโลกอีกหลายสิบแห่งที่ครอบคลุมภาคการเงิน โทรคมนาคม การผลิต และการป้องกันประเทศ CloudSEK เน้นย้ำว่าการจับคู่แบบ “ความเชื่อมั่นสูง” สะท้อนถึงความแข็งแรงของหลักฐานการเปิดเผย ไม่ใช่หลักฐานยืนยันว่ามีการเจาะระบบจริงหรือว่าข้อมูลถูกขโมยและนำไปใช้ อย่างไรก็ตาม การถูกระบุชื่อในชุดข้อมูลลักษณะนี้ก็เพียงพอที่จะกระตุ้นให้มีการทบทวนภายในอย่างเร่งด่วน และหลายองค์กรที่ถูกระบุชื่อก็ให้บริการโครงสร้างพื้นฐานที่เป็นรากฐานของอินเทอร์เน็ตและคลาวด์สำหรับองค์กรในวงกว้าง
เรื่องนี้มีความสำคัญเพราะการเจาะระบบขนาดนี้ไม่ได้กระทบแค่สายผลิตภัณฑ์ของบริษัทเดียว — แต่มันอาจแตะต้องข้อมูลรับรองและท่อส่งที่เชื่อมต่อบัญชีคลาวด์ ระบบควบคุมซอร์ส แพลตฟอร์ม SaaS และผู้ให้บริการ AI ที่ถูกใช้งานในอุตสาหกรรมทั้งหมด
ลำดับเหตุการณ์การโจมตี: จาก Trivy สู่ LiteLLM
การเจาะระบบไม่ได้เริ่มจากตัว LiteLLM เอง แต่เริ่มจากเครื่องมือที่เชื่อถือได้ซึ่งอยู่ภายในกระบวนการ build ผู้โจมตีเข้าควบคุมเครื่องมือสแกนความปลอดภัย Trivy ที่ท่อ CI ของ LiteLLM พึ่งพาอยู่ โดยใช้โทเคนอัตโนมัติที่รั่วไหลออกมา ซึ่งแม้จะถูกหมุนเปลี่ยนแล้วแต่ไม่เคยถูกเพิกถอนอย่างสมบูรณ์ ช่องว่างนี้เปิดหน้าต่างเวลาประมาณ 20 วัน ที่ผู้โจมตีสามารถ force-push โค้ดอันตรายทับแท็กเวอร์ชันที่เผยแพร่ของ Trivy ได้ — โค้ดที่ยังคงดูถูกต้องตามปกติสำหรับผู้ใช้ปลายน้ำ
จากจุดนั้น เครื่องมือสแกนที่ถูกวางยาก็ไหลเข้าสู่ระบบ build ของ LiteLLM โดยอัตโนมัติ ซึ่งจากนั้นได้สร้างและเผยแพร่รีลีสที่ถูกเจาะสองเวอร์ชันไปยัง Python Package Index: เวอร์ชัน 1.82.7 และ 1.82.8 แพ็กเกจเหล่านี้ออนไลน์อยู่บน PyPI ประมาณ 40 นาที ตามข้อมูลของ CloudSEK — เป็นหน้าต่างเวลาที่แคบ แต่ก็เพียงพอที่จะจุดชนวนเหตุการณ์การเปิดเผยในระดับโลก เพราะท่ออัตโนมัติจะติดตั้ง dependency ด้วยความเร็วระดับเครื่องจักรและมักทำงานด้วยสิทธิ์ระดับสูงในระบบ
โค้ดอันตรายถูกเรียกใช้ผ่านไฟล์ `.pth` ที่ทำงานโดยอัตโนมัติเมื่อ Python เริ่มทำงาน หมายความว่าไม่จำเป็นต้องมีการ import LiteLLM โดยตรงเพื่อให้มันทำงาน รายละเอียดนี้ทำให้ payload สามารถหลบเลี่ยงการป้องกันในช่วงติดตั้งที่ทีมความปลอดภัยมักพึ่งพาได้
ผู้โจมตีขโมยอะไรไปบ้าง
เมื่อเริ่มทำงาน มัลแวร์จะยกระดับสิทธิ์และกวาดเก็บ ข้อมูลอ่อนไหว หลากหลายประเภทจากระบบที่ได้รับผลกระทบ หมวดหมู่ของข้อมูลที่ถูกส่งออกมีรายงานว่ารวมถึง:
- ข้อมูลรับรองคลาวด์สำหรับ AWS, GCP และ Azure พร้อมทั้งโทเคนของ Kubernetes และเส้นทาง service account
- โทเคนของรีโพซิทอรี กุญแจ SSH และข้อมูลรับรองสำหรับเผยแพร่แพ็กเกจสำหรับแพลตฟอร์มควบคุมซอร์สและรีจิสทรี
- ตัวแปรสภาพแวดล้อมและไฟล์ `.env` ที่มีความลับของแอปพลิเคชัน
- กุญแจของผู้ให้บริการ AI และข้อมูลการตั้งค่าเกตเวย์ที่เชื่อมโยงกับสแต็ก AI โดยรวมขององค์กร
ตามข้อมูลของ CloudSEK ข้อมูลที่ถูกขโมยจะถูกเข้ารหัสและในบางกรณีถูกส่งไปยังโดเมนที่สะกดเลียนแบบ (typosquatted) หากการส่งออกล้มเหลว มัลแวร์ reportedly จะสร้างรีโพซิทอรีสาธารณะภายในบัญชี GitHub ของเหยื่อเองและอัปโหลดข้อมูลที่ถูกขโมยขึ้นไปเป็น release asset — หมายความว่าองค์กรบางแห่งอาจกำลังรั่วไหลความลับของตนเองสู่สาธารณะโดยไม่รู้ตัว เนื่องจากข้อมูลรับรองเหล่านี้สามารถเข้าถึงบัญชีคลาวด์ รีโพซิทอรี แพลตฟอร์ม SaaS และระบบของผู้ให้บริการ AI ผลกระทบในทางปฏิบัติของเหตุการณ์การเจาะห่วงโซ่อุปทาน AI ครั้งนี้จึงขยายออกไปไกลกว่าตัวแพ็กเกจ LiteLLM เองมาก
ความเสี่ยงที่ยังดำเนินต่อไปและสิ่งที่จะตามมา
ภัยคุกคามในครั้งนี้ไม่ได้สิ้นสุดลงเมื่อแพ็กเกจอันตรายถูกถอดออกจาก PyPI ข้อมูลรับรองที่ถูกขโมยยังคงใช้งานได้เป็นสัปดาห์หรือเป็นเดือน เว้นแต่จะมีการหมุนเปลี่ยนอย่างแข็งขัน และนี่คือเหตุผลที่หน่วยงานรัฐบาลกลางต้องเข้ามาเกี่ยวข้อง
คำเตือนจาก FBI และการหมุนเปลี่ยนข้อมูลรับรอง
FBI ได้ออกคำเตือนแบบ FLASH ในเดือนกรกฎาคม 2026 (FLASH-20260702-01) เตือนว่าผู้โจมตีที่เชื่อมโยงกับแคมเปญนี้มีแนวโน้มจะ นำข้อมูลรับรองที่เก็บเกี่ยวได้ไปใช้เป็นอาวุธ อีกนานหลังจากการบุกรุกครั้งแรก — เป็นสัญญาณว่าการโจมตีห่วงโซ่อุปทานเพิ่มเติมที่สืบเนื่องจากเหตุการณ์นี้ยังคงเป็นไปได้จริง นี่เป็นหนึ่งในเหตุผลที่ CloudSEK เน้นย้ำว่า การหมุนเปลี่ยนเฉพาะกุญแจของ LiteLLM หรือข้อมูลรับรองของผู้ให้บริการโมเดลเพียงรายเดียวไม่เพียงพอ ข้อมูลรับรองใด ๆ ที่กระบวนการที่ได้รับผลกระทบสามารถอ่านได้ — ไม่ว่าจะถูกเก็บบนดิสก์ อยู่ในหน่วยความจำ ถูกฉีดเข้าไปในงาน หรือดึงได้ผ่านบริการ metadata ของอินสแตนซ์ — ควรถูกมองว่า อาจถูกเปิดเผย จนกว่าจะได้รับการยืนยันเป็นอย่างอื่น
ข้อกำหนดในการหมุนเปลี่ยนอย่างกว้างขวางนี้เป็นงานที่หนักกว่าที่ฟังดู ในทางปฏิบัติ หมายความว่าทีมความปลอดภัยต้องทำบัญชีรายการข้อมูลรับรองทุกตัวที่ท่อที่ถูกเจาะอาจแตะต้อง ไม่ใช่แค่ตัวที่เห็นได้ชัดซึ่งผูกกับแพ็กเกจที่ถูกวางยา
CloudSEK AIvigil และการมอนิเตอร์โครงสร้างพื้นฐาน AI
CloudSEK มองเหตุการณ์นี้เป็นหลักฐานว่าโครงสร้างพื้นฐาน AI — เกตเวย์ runtime ของเอเจนต์ ฐานข้อมูลเวกเตอร์ และเซิร์ฟเวอร์ MCP — กำลังกลายเป็นเป้าหมายเชิงกลยุทธ์ที่มีมูลค่าสูงอย่างชัดเจน เพราะมันตั้งอยู่ตรงจุดตัดของข้อมูล อัตลักษณ์ และการกระทำอัตโนมัติทั่วทั้งองค์กร แพลตฟอร์ม AIvigil ของบริษัทถูกสร้างขึ้นบนสมมติฐานนี้ โดยมอนิเตอร์โครงสร้างพื้นฐาน AI อย่างต่อเนื่องเพื่อค้นหาข้อมูลรับรองที่ถูกเปิดเผย ทรัพย์สิน AI เงาที่ไม่ได้รับการจัดการ และเวิร์กโฟลว์แบบ agentic ที่มีความเสี่ยง ก่อนที่สิ่งเหล่านี้จะกลายเป็นเส้นทางการโจมตีเต็มรูปแบบ
บทเรียนที่นักวิจัยสรุปจากเหตุการณ์นี้คือ การเจาะเครื่องมือที่เกี่ยวข้องกับ AI เพียงตัวเดียว — ในกรณีนี้คือเครื่องมือสแกนความปลอดภัยที่อยู่ห่างจากเป้าหมายสุดท้ายสามชั้น — สามารถเปิดเผยเครือข่ายของอัตลักษณ์และระบบที่เชื่อมโยงกันทั้งหมดได้ เมื่อส่วนประกอบ AI ถูกฝังลึกลงไปในเวิร์กโฟลว์การพัฒนาและธุรกิจในชีวิตประจำวันมากขึ้น รัศมีความเสียหายจากการเจาะ upstream เพียงครั้งเดียวก็จะยิ่งขยายตัว
คำถามที่พบบ่อย
มีบริษัทจำนวนเท่าใดที่อาจถูกเปิดเผยในเหตุการณ์การเจาะห่วงโซ่อุปทาน AI ของ LiteLLM?
มีบริษัทมากกว่า 2,500 แห่งที่อาจถูกเปิดเผย ตามชุดข้อมูลการเปิดเผยที่ CloudSEK สร้างขึ้นใหม่
ข้อมูลรับรองประเภทใดบ้างที่ถูกขโมยในการเจาะครั้งนี้?
ข้อมูลรับรองที่ถูกขโมยมีรายงานว่ารวมถึงกุญแจคลาวด์ โทเคนของรีโพซิทอรี กุญแจ SSH ความลับของ Kubernetes ข้อมูลรับรองสำหรับเผยแพร่แพ็กเกจ ตัวแปรสภาพแวดล้อม และกุญแจของผู้ให้บริการ AI
ผู้โจมตีเจาะแพ็กเกจ LiteLLM ได้อย่างไร?
ผู้โจมตีได้เจาะเครื่องมือสแกนความปลอดภัย Trivy ที่เชื่อถือได้ซึ่งใช้ในท่อ CI ของ LiteLLM และแทรกโค้ดอันตรายเข้าไปในแพ็กเกจ LiteLLM บน PyPI เวอร์ชัน 1.82.7 และ 1.82.8
ขั้นตอนที่แนะนำสำหรับองค์กรที่ได้รับผลกระทบจากการเจาะครั้งนี้คืออะไร?
องค์กรที่ได้รับผลกระทบควรหมุนเปลี่ยนข้อมูลรับรองที่ถูกเปิดเผยทั้งหมดอย่างกว้างขวาง แยกระบบที่ได้รับผลกระทบ สร้างสภาพแวดล้อมใหม่จากแหล่งที่สะอาด มอนิเตอร์พฤติกรรม runtime ของ CI/CD และมอนิเตอร์โครงสร้างพื้นฐาน AI ของตนอย่างต่อเนื่องต่อไป
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”มีบริษัทจำนวนเท่าใดที่อาจถูกเปิดเผยในเหตุการณ์การเจาะห่วงโซ่อุปทาน AI ของ LiteLLM?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”มีบริษัทมากกว่า 2,500 แห่งที่อาจถูกเปิดเผย ตามชุดข้อมูลการเปิดเผยที่ CloudSEK สร้างขึ้นใหม่.”}},{“@type”:”Question”,”name”:”ข้อมูลรับรองประเภทใดบ้างที่ถูกขโมยในการเจาะครั้งนี้?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ข้อมูลรับรองที่ถูกขโมยมีรายงานว่ารวมถึงกุญแจคลาวด์ โทเคนของรีโพซิทอรี กุญแจ SSH ความลับของ Kubernetes ข้อมูลรับรองสำหรับเผยแพร่แพ็กเกจ ตัวแปรสภาพแวดล้อม และกุญแจของผู้ให้บริการ AI.”}},{“@type”:”Question”,”name”:”ผู้โจมตีเจาะแพ็กเกจ LiteLLM ได้อย่างไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ผู้โจมตีได้เจาะเครื่องมือสแกนความปลอดภัย Trivy ที่เชื่อถือได้ซึ่งใช้ในท่อ CI ของ LiteLLM และแทรกโค้ดอันตรายเข้าไปในแพ็กเกจ LiteLLM บน PyPI เวอร์ชัน 1.82.7 และ 1.82.8.”}},{“@type”:”Question”,”name”:”ขั้นตอนที่แนะนำสำหรับองค์กรที่ได้รับผลกระทบจากการเจาะครั้งนี้คืออะไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”องค์กรที่ได้รับผลกระทบควรหมุนเปลี่ยนข้อมูลรับรองที่ถูกเปิดเผยทั้งหมดอย่างกว้างขวาง แยกระบบที่ได้รับผลกระทบ สร้างสภาพแวดล้อมใหม่จากแหล่งที่สะอาด มอนิเตอร์พฤติกรรม runtime ของ CI/CD และมอนิเตอร์โครงสร้างพื้นฐาน AI ของตนอย่างต่อเนื่องต่อไป.”}}]}
บทความนี้จัดทำขึ้นโดยได้รับความช่วยเหลือจากปัญญาประดิษฐ์และผ่านการตรวจทานโดยทีมบรรณาธิการ
