Pipeline de release do LiteLLM é comprometido e distribui pacote malicioso com backdoor e roubo de credenciais
O LiteLLM, um gateway amplamente usado para unificar o acesso a diferentes APIs de LLM, teve seu pipeline de release comprometido em 21 de outubro de 2026, publicando a versão 1.107.0 no Docker Hub e no PyPI com um credential stealer e um backdoor embutidos. A empresa suspeita que o incidente teve origem no vazamento de um token do GitHub, possivelmente através de logs do próprio gateway de IA.
O LiteLLM ocupa uma posição crítica na cadeia de suprimentos de muitas aplicações de IA: é o gateway que centraliza chamadas a múltiplos provedores de LLM, frequentemente com acesso a chaves de API, segredos de outros serviços e configurações sensíveis de produção. Comprometer seu processo de release significa potencialmente comprometer, de forma indireta, todos os ambientes que dependem dele para orquestrar chamadas de modelo.
Segundo a divulgação, atacantes conseguiram burlar múltiplos controles de segurança independentes para publicar a versão maliciosa simultaneamente no Docker Hub e no PyPI — ou seja, o comprometimento não ficou restrito a um único canal de distribuição, o que amplia a superfície de exposição para quem automatiza atualizações via imagem de container ou via pip. A hipótese de causa raiz levantada pela própria LiteLLM é reveladora do tipo de risco específico de infraestrutura de IA: um token do GitHub pode ter sido exposto justamente através de logs gerados pelo gateway de IA, sugerindo que segredos processados ou logados pela própria ferramenta de IA se tornaram o ponto de entrada para o ataque à cadeia de suprimentos dela mesma.
O pacote comprometido incluía um stealer de credenciais e um backdoor, uma combinação clássica de ataque de cadeia de suprimentos: o stealer maximiza o valor imediato do comprometimento (coletando segredos de quem instalar o pacote), enquanto o backdoor garante acesso persistente para exploração futura, mesmo depois que a versão maliciosa for removida dos repositórios. Como o LiteLLM é adotado por empresas justamente para integrar múltiplos LLMs em produção, qualquer ambiente que tenha atualizado automaticamente para 1.107.0 nesse intervalo deve ser tratado como potencialmente comprometido, exigindo rotação de credenciais e investigação de persistência.
O episódio reforça um ponto que vem se tornando recorrente nesse ecossistema: ferramentas de infraestrutura de IA (gateways, orquestradores, bibliotecas de agente) estão se tornando alvos de ataque à cadeia de suprimentos com o mesmo perfil de risco de qualquer dependência crítica de software — e o próprio manuseio de segredos pelas ferramentas de IA pode criar o vazamento que viabiliza o ataque.