Pacote LiteLLM comprometido na PyPI distribui backdoor e ladrão de credenciais
A versão 1.107.0 do LiteLLM, biblioteca Python amplamente usada como camada unificada de acesso a APIs de LLMs, foi comprometida e distribuída via wheels do PyPI e imagens Docker contendo um ladrão de credenciais e um backdoor. O pacote malicioso foi identificado por múltiplas firmas de segurança de cadeia de suprimentos de software (SafeDep, Socket, StepSecurity e Upwind) e já foi colocado em quarentena no índice oficial.
O LiteLLM ocupa uma posição estrutural na pilha de IA de muitas organizações: é a camada que traduz chamadas para diferentes provedores de LLM (OpenAI, Anthropic, Google e outros) em uma interface única, geralmente reunindo em um só lugar as chaves de API de todos esses provedores. Segundo o relato original, a versão 1.107.0 do pacote foi comprometida e distribuída tanto via wheels do PyPI quanto via imagens Docker, dois dos principais canais de distribuição usados por equipes de engenharia para instalar a biblioteca em produção.
O fato de o pacote ter sido identificado de forma independente por quatro firmas distintas especializadas em segurança de cadeia de suprimentos de software (SafeDep, Socket, StepSecurity e Upwind) é um indicador forte de que o comprometimento já estava sendo observado em múltiplos ambientes de monitoramento antes da contenção, e não se tratou de um alerta isolado ou falso positivo. A resposta do ecossistema foi rápida: o PyPI colocou o pacote em quarentena, interrompendo novas instalações da versão afetada, mas isso não desfaz instalações já realizadas em pipelines de CI/CD, imagens de contêiner já publicadas ou ambientes que fixaram a versão comprometida antes da remoção.
O que torna esse incidente particularmente sensível é a natureza do software atingido: diferente de uma biblioteca utilitária genérica, o LiteLLM é projetado para concentrar segredos de alto valor — chaves de API de múltiplos provedores de LLM, que podem representar custos financeiros diretos se abusadas, além de acesso a dados processados pelos modelos. Um backdoor instalado nessa camada tem alcance amplo: qualquer aplicação, agente ou pipeline que dependa do LiteLLM para rotear chamadas de IA fica potencialmente exposto, criando uma superfície de comprometimento que se estende por toda a cadeia de produtos de IA construídos sobre essa dependência.
Na prática, o caso reforça um padrão já visto repetidamente em ataques à cadeia de suprimentos de software de código aberto, mas agora direcionado especificamente à infraestrutura de IA: pacotes populares no ecossistema de LLMs vêm se tornando alvos atrativos justamente porque concentram credenciais sensíveis e estão sendo adotados em ritmo acelerado, muitas vezes com menos escrutínio de segurança do que dependências mais maduras. Organizações que usam LiteLLM devem tratar a versão 1.107.0 como comprometida, rotacionar todas as chaves de API expostas a processos que a executaram, auditar imagens Docker derivadas e revisar logs de rede por tráfego de exfiltração incomum no período em que a versão maliciosa esteve disponível.