KI-Sicherheitsrisiken in der Lieferkette: Wenn ein pip install reicht

Ein Vorfall rund um die Python-Bibliothek LiteLLM hat vor kurzem gezeigt, wie schnell moderne KI-Infrastrukturen kompromittiert werden können – und zwar ohne klassische Angriffsvektoren wie Phishing oder Zero-Day-Exploits.

Kurzerklärung zu den Begriffen:

• Phishing = Mensch wird getäuscht durch bspw. falsche E-Mails oder Websites
• Zero-Day = unbekannte technische Sicherheitslücke wird ausgenutzt
• Supply-Chain-Angriff = vertrauenswürdige Software wird selbst manipuliert, um viele Systeme gleichzeitig zu treffen

Im Kern reichte ein einfaches pip install also aus, um sensible Zugangsdaten aus betroffenen Systemen auszulesen. Darunter waren unter anderem SSH-Keys, Cloud-Zugänge, Kubernetes-Konfigurationen und API-Schlüssel.

Wie konnte das passieren?

LiteLLM ist ein weit verbreitetes Open-Source-Tool, das KI-Anwendungen mit verschiedenen Sprachmodellen verbindet. Genau diese zentrale Rolle machte die Bibliothek zum attraktiven Ziel: Wer sie kompromittiert, erreicht potenziell viele Entwicklungs- und Produktionsumgebungen gleichzeitig.

Angreifer konnten den Veröffentlichungsprozess der Software manipulieren und schädliche Versionen in den offiziellen Paket-Manager einschleusen. Besonders kritisch: Der Schadcode wurde so eingebettet, dass er automatisch beim Start von Python ausgeführt wurde – selbst dann, wenn das Tool gar nicht aktiv genutzt wurde.

Was wurde abgegriffen?

Die manipulierten Versionen waren darauf ausgelegt, möglichst viele Zugangsdaten zu sammeln, darunter:

• Cloud-Zugänge (AWS, Azure, Google Cloud)
• Server- und SSH-Keys
• Datenbank-Passwörter
• Kubernetes-Secrets
• CI/CD-Token

Die Daten wurden anschließend unbemerkt an externe Server übertragen.

Warum das so relevant ist

Der Vorfall zeigt deutlich: Die größte Sicherheitslücke in KI-Systemen liegt oft nicht im Modell selbst, sondern in der Software-Lieferkette dahinter.

Gerade im Umfeld von KI-Agenten und automatisierten Systemen ist das kritisch, da diese häufig weitreichende Zugriffe auf Infrastruktur, Daten und APIs besitzen. Wird eine solche Komponente kompromittiert, kann sie selbst zum Angriffsvektor werden.

Die wichtigste Erkenntnis

Sicherheit in KI-Systemen endet nicht beim Modell. Entscheidend ist die gesamte Umgebung, in der diese Systeme betrieben werden.

Dazu gehören unter anderem:

• kontrollierte und feste Versionsstände von Abhängigkeiten
• überprüfte Software-Pakete und Signaturen
• Monitoring von ausgehenden Netzwerkverbindungen
• strikte Rechtevergaben für Systeme und Agenten
• Absicherung der Entwicklungs- und Deployment-Pipelines

Der Fall LiteLLM ist damit weniger ein Einzelfall als ein klares Warnsignal:
Die eigentliche Angriffsfläche moderner KI liegt in der Infrastruktur, die sie trägt – nicht nur in der KI selbst.

SECURE CORNER unterstützt diesen Ansatz mit einem Fokus auf ganzheitliche Sicherheitsarchitekturen. Ziel ist es, Risiken nicht erst im Schadensfall sichtbar zu machen, sondern kritische Abhängigkeiten und Zugriffspfade frühzeitig abzusichern und kontrollierbar zu halten.

WEIL SICHERHEIT FACHWISSEN BRAUCHT.