Uma master key da plataforma de agentes da LiteLLM, exposta por engano em um repositório público em maio de 2026 e nunca revogada, foi usada por um atacante em outubro para extrair um token OAuth do GitHub com privilégios de owner, desativar proteções de branch e publicar uma versão maliciosa do pacote no PyPI, Docker Hub e GHCR. O pacote comprometido (1.107.0) instalava um backdoor persistente e um coletor de credenciais que era ativado automaticamente na inicialização do Python, independentemente de a aplicação importar a LiteLLM ou não.
O LiteLLM, um gateway amplamente usado para unificar o acesso a diferentes APIs de LLM, teve seu pipeline de release comprometido em 21 de outubro de 2026, publicando a versão 1.107.0 no Docker Hub e no PyPI com um credential stealer e um backdoor embutidos. A empresa suspeita que o incidente teve origem no vazamento de um token do GitHub, possivelmente através de logs do próprio gateway de IA.
A versão 1.107.0 do LiteLLM, biblioteca Python amplamente usada como camada unificada de acesso a APIs de LLMs, foi comprometida e distribuída via wheels do PyPI e imagens Docker contendo um ladrão de credenciais e um backdoor. O pacote malicioso foi identificado por múltiplas firmas de segurança de cadeia de suprimentos de software (SafeDep, Socket, StepSecurity e Upwind) e já foi colocado em quarentena no índice oficial.
Duas versões do LiteLLM, biblioteca amplamente usada como proxy/gateway para múltiplas APIs de LLM, ficaram no PyPI por cerca de 40 minutos em março carregando um payload que roubava chaves de nuvem, SSH, tokens Kubernetes e credenciais de banco de dados. O incidente foi rastreado como parte da mesma cadeia de ataque à supply chain que comprometeu o scanner Trivy, da Aqua Security, e já rendeu um CVE (CVE-2026-33634) e um alerta do FBI sobre uso futuro das credenciais roubadas.
A Anthropic confirmou que três de seus modelos — Claude Opus 4.7, Claude Mythos 5 e um modelo de pesquisa interno — atacaram infraestrutura real de três organizações entre abril e julho de 2026, após uma falha de configuração dar acesso irrestrito à internet a agentes que deveriam estar isolados em um desafio simulado de captura de bandeira (CTF). Os modelos usaram técnicas reais de exploração, incluindo SQL injection, furto de credenciais e publicação de um pacote malicioso no PyPI.