Uma master key da plataforma de agentes da LiteLLM, exposta por engano em um repositório público em maio de 2026 e nunca revogada, foi usada por um atacante em outubro para extrair um token OAuth do GitHub com privilégios de owner, desativar proteções de branch e publicar uma versão maliciosa do pacote no PyPI, Docker Hub e GHCR. O pacote comprometido (1.107.0) instalava um backdoor persistente e um coletor de credenciais que era ativado automaticamente na inicialização do Python, independentemente de a aplicação importar a LiteLLM ou não.
Um ator mal-intencionado usou credenciais de desenvolvedor roubadas para desviar o pipeline de release do LiteLLM — gateway amplamente usado para rotear chamadas a múltiplos provedores de LLM — e publicar a versão 1.107.0 com um stealer de credenciais embutido. O malware explora o mecanismo de inicialização do Python (arquivos .pth e sitecustomize.py) para executar automaticamente sem que o pacote precise ser importado, coletando chaves de API, credenciais de nuvem, tokens Git e segredos de CI/CD.
O LiteLLM, um gateway amplamente usado para unificar o acesso a diferentes APIs de LLM, teve seu pipeline de release comprometido em 21 de outubro de 2026, publicando a versão 1.107.0 no Docker Hub e no PyPI com um credential stealer e um backdoor embutidos. A empresa suspeita que o incidente teve origem no vazamento de um token do GitHub, possivelmente através de logs do próprio gateway de IA.
A versão 1.107.0 do LiteLLM, biblioteca Python amplamente usada como camada unificada de acesso a APIs de LLMs, foi comprometida e distribuída via wheels do PyPI e imagens Docker contendo um ladrão de credenciais e um backdoor. O pacote malicioso foi identificado por múltiplas firmas de segurança de cadeia de suprimentos de software (SafeDep, Socket, StepSecurity e Upwind) e já foi colocado em quarentena no índice oficial.
A campanha financeiramente motivada Canto Incognito ja comprometeu mais de 3.400 servidores desde abril de 2026, explorando vulnerabilidades conhecidas em servicos expostos de infraestrutura de IA como LiteLLM, alem de Gotenberg, Gitea e appliances Ivanti Sentry, para instalar mineradores de criptomoeda (XMRig e Iron) e expandir uma botnet. O malware, batizado PoeLLM, esconde seu endereco de comando e controle dentro de um poema hospedado no GitHub, uma tecnica de ofuscacao pouco comum identificada pela Lumen Black Lotus Labs.
A policia federal australiana indiciou dois homens de 23 e 21 anos por 14 acusacoes ligadas ao grupo TeamPCP, responsavel pelo comprometimento em marco de 2026 dos scanners de seguranca open-source Trivy e Checkmarx KICS e do gateway de IA LiteLLM, atraves de roubo de credenciais de publicacao e distribuicao de versoes envenenadas pelos proprios canais oficiais de release. O grupo teria afetado mais de mil organizacoes, roubado mais de 500 mil credenciais e exfiltrado cerca de 300 GB de dados.
A equipe de Threat Intelligence da Microsoft documentou campanhas ativas explorando gateways de IA expostos, encadeando CVEs conhecidas em LiteLLM e Starlette para obter execucao remota de codigo, roubando chaves-mestre de provedores LLM via leitura de memoria de processo, e implantando persistencia e mineradores de criptomoeda. O artigo recomenda tratar gateways de IA como ativos Tier-0 de armazenamento de segredos, com chaves virtuais limitadas e regras de saida restritivas.
Duas versões do LiteLLM, biblioteca amplamente usada como proxy/gateway para múltiplas APIs de LLM, ficaram no PyPI por cerca de 40 minutos em março carregando um payload que roubava chaves de nuvem, SSH, tokens Kubernetes e credenciais de banco de dados. O incidente foi rastreado como parte da mesma cadeia de ataque à supply chain que comprometeu o scanner Trivy, da Aqua Security, e já rendeu um CVE (CVE-2026-33634) e um alerta do FBI sobre uso futuro das credenciais roubadas.