O LiteLLM, ferramenta open source muito usada por desenvolvedores de inteligência artificial, publicou na sexta-feira (23) a análise de causa do ataque que distribuiu uma versão adulterada do pacote na semana anterior. Segundo o projeto, tudo começou com um arquivo de configuração exposto por engano em maio, que continha a chave mestra de uma ferramenta interna usada para rodar agentes de IA.
A equipe percebeu a exposição na época e removeu o arquivo, mas não revogou a chave. No início de outubro, um invasor ainda não identificado usou essa credencial para acessar as ferramentas do projeto e obter um token com controle sobre todos os repositórios do LiteLLM no GitHub. Depois, contornou vários controles de segurança e publicou a versão 1.107.0 com um malware que coleta credenciais.
De acordo com a empresa de segurança Wiz, o pacote malicioso ficou cerca de duas horas no PyPI, o repositório oficial de bibliotecas Python, e foi baixado aproximadamente 49 mil vezes. Em cerca de quatro horas e meia, o atacante já testava credenciais roubadas da AWS para descobrir quais modelos de IA podia usar — prática conhecida como LLMjacking, em que criminosos usam contas de nuvem alheias para rodar IA e deixam a conta para a vítima.
A Microsoft afirmou que o código malicioso era executado sempre que o Python iniciava na máquina infectada, mesmo que o programa em uso nem dependesse do LiteLLM. O projeto orienta quem instalou a versão comprometida em um computador conectado à internet a considerar todas as credenciais como roubadas e trocar todas as senhas e chaves de acesso alcançáveis a partir dele.
É o segundo ataque à cadeia de suprimentos do LiteLLM em 2026. Em março, versões maliciosas foram publicadas no PyPI em uma campanha atribuída depois ao grupo TeamPCP, e a polícia australiana já indiciou dois suspeitos. Nenhuma organização confirmou publicamente ter sido invadida por causa do novo incidente.
Fonte: The Record