IT 전문 매체 Ars Technica는 오늘(8월 13일) 게시글을 통해, 올해 3월 발생한 API 게이트웨이 LiteLLM 공급망 오염 사건에서 약 40분간의 공격으로 전 세계 약 2,500개 기업이 피해를 입고 약 195TB의 비밀번호 데이터가 유출됐다고 보도했다.
IT之家는 올해 3월, 월간 설치 횟수가 9,500만 회에 달하는 AI 인프라 도구 LiteLLM이 공급망 공격을 받았다고 보도한 바 있다.
LiteLLM은 오픈 소스 AI API 게이트웨이로, 수천 개 기업의 AI 아키텍처를 뒷받침하는 핵심 도구다. 개발자는 통합된 형식으로 OpenAI, Anthropic, Azure 등 100개가 넘는 서비스 제공업체의 API를 호출할 수 있다.
보안 기업 CloudSEK와 Hudson Rock이 이번 주 공개한 데이터에 따르면, 약 40분간의 공격 기간에 공격자는 감염된 버전을 통해 대량의 비밀번호 인증 정보를 수집하고 외부로 전송했다. 2,500개가 넘는 조직이 피해를 입었으며, 이는 2026년 최대 규모의 AI 공급망 유출 사건이라고 밝혔다.
노출된 정보에는 클라우드 키, 코드 저장소 토큰, SSH 키, Kubernetes 키, 소프트웨어 패키지 배포 인증 정보, 환경 변수 및 AI 서비스 제공업체 키 등이 포함됐다.
두 회사는 195TB 규모의 유출 파일을 분석한 결과, 이번 보안 사건에서 CI/CD(지속적 통합/지속적 배포) 소프트웨어 파이프라인의 인증 정보 약 434,000건이 유출된 사실을 확인했다. 해당 인증 정보는 대규모 데이터에 분산되어 있었으며, LiteLLM을 실행하는 수많은 조직이 관련된 것으로 나타났다.
영향을 받은 기업과 기관에 대해 연구진은 다음 기업들이 피해를 입었다는 충분한 증거가 있다고 밝혔다. 전체 목록은 여기에서 확인할 수 있다:
Nvidia Corporation 엔비디아
Amazon Web Services (AWS) 아마존 웹 서비스
Samsung Electronics 삼성전자
samsung.com 삼성 공식 웹사이트
Salesforce 세일즈포스
Cisco Systems, Inc. 시스코 시스템즈
F. Hoffmann-La Roche AG 로슈
ServiceNow
Siemens AG 지멘스
S&P Global S&P 글로벌
Airbus US Space & Defense 에어버스 미국 우주·방위
John Deere 존 디어
Regeneron Pharmaceuticals, Inc. 리제네론 파마슈티컬스
London Stock Exchange Group (LSEG) 런던 증권거래소 그룹(LSEG)
Thomson Reuters 톰슨 로이터
FedEx 페덱스
Munich Remunichre.com
MediaTek Inc. 미디어텍
Volkswagen AG 폭스바겐
Deloitte 딜로이트
The Kroger Co. 크로거
Siemens Energy 지멘스 에너지
Thales Group 탈레스 그룹
X(트위터)
Zscaler, Inc. Zscaler
Epic Games
Orange S.A. 남호주 오렌지 카운티
HP Inc. HP
Philips 필립스
Fortum Oyj 포르툼
Vodafone Group Plc 보다폰 그룹
Carl Zeiss AG 칼자이스
Deutsche Bahn AG 독일철도
NGINX
BT Group 영국 통신 그룹
Liebherr 리프헤어
Krungthai Bank Public Company Limited
Roku
참고
Largest AI Supply Chain Breach of 2026: LiteLLM Hack Impacts Thousands of Global Enterprises - Claim Your Ethical Disclosure
2,500+ Companies and 434,000 CI/CD Pipelines Exposed in the Largest AI Supply Chain Breach of 2026
영향받은 조직