A equipe do LiteLLM, ferramenta de infraestrutura usada para conectar aplicações a diferentes modelos de inteligência artificial, confirmou em 21 de outubro de 2026 um ataque à sua cadeia de distribuição. A versão 1.107.0 chegou aos repositórios PyPI e Docker com código malicioso capaz de roubar credenciais e instalar componentes para execução remota de comandos.
Segundo o comunicado oficial do projeto, os pacotes comprometidos já foram retirados, mas a investigação sobre o acesso inicial dos invasores continua. A retirada da versão não elimina o risco para quem chegou a executá-la.
O que foi comprometido
No PyPI, sete arquivos da versão litellm==1.107.0 ficaram disponíveis entre 11h39 e 13h23 UTC de 21 de outubro. No Docker, imagens com as tags v1.107.0, latest, main-latest e main-stable apontaram para conteúdo comprometido entre 11h46 e 14h20 UTC, de acordo com a cronologia publicada pelo LiteLLM. O registro de contêineres GHCR também foi afetado durante parte desse período.
O projeto afirma que a tag do código-fonte no GitHub não continha os arquivos maliciosos: os artefatos distribuídos foram montados a partir de um repositório controlado pelo invasor. A empresa diz que três contas de desenvolvedores tiveram credenciais comprometidas, permitindo alterar e aprovar etapas do pipeline de publicação. O mecanismo inicial de obtenção desses acessos ainda estava sob apuração no último comunicado consultado.
Por que o incidente é importante para quem usa IA
O LiteLLM é empregado como camada de acesso a modelos e provedores de IA. Uma máquina comprometida pode expor chaves de API, segredos de aplicações, credenciais de nuvem e informações de infraestrutura. A análise independente do Datadog Security Labs descreve o componente de roubo de credenciais e uma porta de acesso remoto incluídos na distribuição maliciosa.
O problema não é apenas instalar uma biblioteca vulnerável: é receber software adulterado pelo próprio canal normalmente usado para atualização. O incidente ilustra por que uma versão aparentemente oficial precisa de verificação de origem e integridade.
O que fazer em caso de exposição
O comunicado recomenda que equipes que instalaram a versão 1.107.0 ou executaram imagens afetadas tratem o ambiente como potencialmente comprometido, reconstruam instalações limpas, examinem evidências de execução e troquem as credenciais que a máquina poderia acessar. A orientação oficial também alerta para não iniciar o diagnóstico com um simples pip install no ambiente afetado, porque a inicialização do Python pode reativar componentes maliciosos.
A versão anterior 1.106.2, fixada explicitamente, é apontada pelo projeto como alternativa temporária para instalações de código aberto. O comunicado afirma que os clientes da distribuição empresarial privada não foram afetados por esse episódio específico.
Fonte primária: Comunicado e orientações de resposta do LiteLLM, 21/10/2026.
A situação pode receber novas atualizações à medida que a investigação avance. Até o último comunicado consultado, o incidente estava contido, mas não completamente esclarecido.
Imagem de capa: fotografia ilustrativa de sala de servidores por Acirmandello, Wikimedia Commons, licença CC BY-SA 4.0. A fotografia não retrata sistemas do LiteLLM nem o ataque.
