Ataque à cadeia de suprimentos do LiteLLM rouba senhas e segredos

Segundo a fonte, atacantes comprometeram o processo de release do LiteLLM e publicaram a versão 1.107.0 no PyPI e no Docker (imagem litellm/litellm:1.107.0). O upload ocorreu às 11:39 UTC. Pesquisadores da Wiz dizem que o payload veio de commits maliciosos em um repositório com nome parecido com o da organização legítima (Berri-AI, com hífen, contra BerriAI). Esse repositório serviu para injetar três arquivos no pipeline: cook.pth, cook.py e sitecustomize.py.

O cook.pth faz o cook.py rodar toda vez que o Python é invocado, sem ação do usuário. O cook.py é o infostealer, com 16 módulos. Ele coleta credenciais de navegadores (Chrome, Firefox, Edge e Safari), AWS (~/.aws/, variáveis de ambiente e metadados IMDS), chaves de service account do Google Cloud, tokens do Azure, chaves de API de provedores de LLM, chaves SSH e GPG e histórico do shell. Os dados são cifrados com AES-256-CBC, a chave é protegida com RSA-4096 e o envio é um POST HTTP para um domínio dos atacantes. O sitecustomize.py é o RAT: sobe um daemon que consulta a infraestrutura dos atacantes a cada hora atrás de comandos.

Este não é o primeiro incidente do LiteLLM. Em 26 de março de 2026, o CEVIU noticiou "Pacote LiteLLM no PyPI comprometido para roubo de credenciais", atribuído ao grupo TeamPCP, com um arquivo .pth executado pelo Python, mecanismo parecido com o do cook.pth agora. Em 13 de agosto de 2026, o CEVIU publicou "Ataque na cadeia de suprimentos LiteLLM compromete mais de 2.500 organizações". A fonte atual cita o episódio de março e o número de 2.500 organizações e 434.000 pipelines de CI/CD (estimativa da CloudSEK). Diferente do que o CEVIU registrou antes, o material atual não atribui a autoria deste novo ataque a nenhum grupo.

Para quem opera LiteLLM como gateway de LLM, o risco é concentrado: o mesmo processo guarda chaves de provedores, identidades de nuvem e strings de conexão. Na leitura editorial, a repetição do alvo em meses diferentes sugere que pinagem de versão, revisão do pipeline de release e isolamento de segredos deixaram de ser opcionais. Quem rodou a 1.107.0 deve tratar tudo como exposto e rotacionar credenciais.