Release v1.107.0 do LiteLLM, de 21 de outubro de 2026, foi comprometida e já está contida

Segundo o aviso de segurança do LiteLLM, o pipeline de release foi comprometido na madrugada de 21 de outubro de 2026 e publicou a v1.107.0 no PyPI e nos registries de contêiner. O pacote malicioso (sete wheels) ficou no ar das 11h39 às 13h23 UTC. As imagens Docker v1.107.0, latest, main-latest e main-stable apontaram para o índice comprometido das 11h46 às 14h20 UTC. O malware rouba credenciais e carrega ferramentas de execução remota de código. Clientes enterprise do registry privado não foram afetados.

O detalhe técnico central: a tag oficial v1.107.0 no GitHub não contém os arquivos maliciosos. Os artefatos saíram de um repositório controlado pelo atacante, com nome parecido (Berri-AI/litellm em vez de BerriAI/litellm). Segundo a equipe, o atacante usou tokens OAuth do GitHub CLI de três desenvolvedores, um deles de um dos donos da organização, para desativar proteções de branch e forçar a alteração do workflow. A equipe diz que esses tokens podem ter vazado em logs do próprio LiteLLM interno, exposto à internet, porque o Claude Code pode embutir o token na resposta. A forma de acesso ao deploy interno ainda não foi confirmada. Para detectar exposição, procure litellm-1.107.0.dist-info, cook.pth e sitecustomize.py. Não achar não prova que o ambiente está limpo. A recomendação é fixar a versão em 1.106.2, remover os arquivos antes de rodar pip e rotacionar todas as credenciais que o host alcançava.

Não é o primeiro caso. Em 26 de março de 2026, o CEVIU noticiou em "Pacote LiteLLM no PyPI comprometido para roubo de credenciais" que o grupo TeamPCP assumiu um comprometimento do LiteLLM no PyPI, com um arquivo .pth executado pelo Python. Em 13 de agosto de 2026, o CEVIU publicou "Ataque na cadeia de suprimentos LiteLLM compromete mais de 2.500 organizações". O aviso atual cita um incidente anterior em março e diz que o pipeline foi endurecido depois dele: releases em repositório privado, Trusted Publishers, tags Docker imutáveis e imagens assinadas. O ataque de outubro, segundo a equipe, precisou derrubar vários desses controles. O aviso não atribui a autoria a nenhum grupo.

Para quem opera LiteLLM como gateway de modelos, o recado é prático: o proxy concentra chaves de vários provedores, e um pacote comprometido leva tudo junto. Fixar versões e imagens por digest deixa de ser boa prática e vira requisito. Também vale checar o que seus logs guardam, porque o aviso aponta tokens aparecendo em corpos de resposta registrados.