Releases maliciosas do LiteLLM ligadas ao ataque à Trivy podem ter exposto mais de 2.100 organizações
Duas versões do LiteLLM, biblioteca amplamente usada como proxy/gateway para múltiplas APIs de LLM, ficaram no PyPI por cerca de 40 minutos em março carregando um payload que roubava chaves de nuvem, SSH, tokens Kubernetes e credenciais de banco de dados. O incidente foi rastreado como parte da mesma cadeia de ataque à supply chain que comprometeu o scanner Trivy, da Aqua Security, e já rendeu um CVE (CVE-2026-33634) e um alerta do FBI sobre uso futuro das credenciais roubadas.
O LiteLLM é uma peça de infraestrutura de IA extremamente comum: funciona como camada de abstração para chamar diferentes provedores de LLM (OpenAI, Anthropic, etc.) com uma interface única, e por isso está presente em pipelines de desenvolvimento de um número desproporcional de empresas que constroem produtos de IA. As versões 1.82.7 e 1.82.8, publicadas no PyPI em 24 de março às 10:39 UTC e removidas cerca de 40 minutos depois, continham um arquivo `litellm_init.pth` — um mecanismo padrão do Python que executa código automaticamente toda vez que o interpretador inicializa naquele ambiente, sem precisar que o pacote seja importado explicitamente.
O payload coletava variáveis de ambiente sensíveis, incluindo chaves como `OPENAI_API_KEY` e `ANTHROPIC_API_KEY`, além de chaves SSH, credenciais de nuvem, tokens Kubernetes e senhas de banco de dados, criptografava tudo e exfiltrava para um domínio controlado pelos atacantes. O vetor de publicação ainda é disputado entre os pesquisadores: a CloudSEK aponta para uma build maliciosa, enquanto a equipe do LiteLLM afirma que houve um upload direto ao PyPI que contornou o pipeline oficial de CI/CD — mas ambas as versões concordam que a causa raiz foi um token de publicação do PyPI comprometido durante o ataque anterior ao Trivy, da Aqua Security, atribuído ao ator rastreado pelo Google como UNC6780.
A escala potencial é grande: um dataset de cerca de 434 mil arquivos capturados pelos atacantes mapeia exposição potencial a mais de 2.100 organizações, incluindo nomes como NVIDIA, Cisco, Deloitte, Volkswagen, FedEx e Siemens — embora esse número reflita arquivos e eventos de exfiltração observados, não necessariamente vítimas confirmadas com impacto real. Um alerta FLASH do FBI, emitido em julho, já avisava que as credenciais exfiltradas provavelmente seriam usadas por afiliados de ataque muito depois do comprometimento inicial, o que é a característica mais perigosa desse tipo de incidente: a janela de exposição de 40 minutos não limita o período de risco, porque credenciais de longa duração capturadas naquele intervalo continuam válidas até serem rotacionadas.
Para equipes que dependem de LiteLLM ou de qualquer gateway de LLM como esse, a lição prática é dupla: primeiro, tratar dependências de infraestrutura de IA com o mesmo rigor de supply chain que qualquer outro pacote crítico, incluindo pinning de versão e verificação de hash; segundo, assumir que qualquer segredo que tenha passado pelo ambiente de execução entre 24 de março e a rotação de credenciais deve ser considerado potencialmente comprometido e trocado, independentemente de evidência direta de uso indevido.