LiteLLM retiró la versión 1.107.0 después de que un atacante alterara su proceso de publicación y distribuyera malware mediante PyPI y contenedores Docker el 21 de octubre de 2026. El proyecto confirmó el incidente y pidió tratar los entornos expuestos como comprometidos. Wiz reportó después uso de credenciales robadas de AWS.
La herramienta permite conectar aplicaciones con distintos proveedores de modelos de inteligencia artificial. Según StepSecurity, el código malicioso podía ejecutarse al iniciar Python en el entorno afectado, incluso si la aplicación no importaba LiteLLM.
Las claves robadas permitían alcanzar otros servicios
Los análisis de StepSecurity identificaron un recolector de secretos y una puerta trasera entre los archivos añadidos al paquete. El primero buscaba contraseñas de navegadores, claves privadas y credenciales de servicios cloud y herramientas de IA, incluidas claves de proveedores guardadas por el proxy de LiteLLM.
El segundo componente estaba diseñado para consultar cada hora una ubicación en GitHub y, si encontraba una dirección válida, descargar y ejecutar código adicional. Wiz precisó que ese cargador funcionaba en Linux y macOS, con fallos que impedían su ejecución en Windows. El paquete de Windows también contenía el código malicioso.
Wiz no observó activa la entrega de esa segunda etapa durante su análisis. Sí detectó que el atacante comenzó a comprobar credenciales de AWS robadas aproximadamente cuatro horas y media después de su extracción. Procedían de sistemas de integración continua y nodos de Kubernetes; en algunos entornos hubo consultas sobre identidades y permisos.
Esa actividad muestra que el robo de claves podía tener consecuencias fuera del proceso de Python, aunque el canal para entregar código adicional estuviera inactivo.
La exposición incluye imágenes etiquetadas como "latest"
El informe oficial identifica siete paquetes compilados, llamados wheels, de la versión 1.107.0 y contenedores publicados en Docker Hub y GitHub Container Registry. Durante el incidente también apuntaron a imágenes comprometidas las etiquetas latest, main-latest y main-stable.
Por eso, revisar únicamente si una configuración menciona el número 1.107.0 puede dejar fuera despliegues que descargaron esas etiquetas. La revisión debe incluir qué imagen se obtuvo durante el incidente.
LiteLLM recomienda retirar los archivos maliciosos y detener el proceso que permanece en segundo plano antes de reinstalar. Aconseja reconstruir los entornos y contenedores desde cero, fijar la versión 1.106.2 y renovar las credenciales accesibles desde los sistemas afectados. Advierte que iniciar Python para ejecutar el instalador también puede reactivar el malware.
LiteLLM investiga cómo se obtuvieron los accesos
En sus actualizaciones oficiales en GitHub, el equipo informó que el atacante utilizó credenciales de tres ingenieros para manipular el flujo de publicación. Su hipótesis es que los tokens se obtuvieron de registros de una instalación interna expuesta a internet; todavía investiga cómo accedieron a ella.
La retirada de los paquetes limita nuevas descargas, pero no invalida las claves que pudieron salir de los sistemas afectados. LiteLLM mantiene bloqueados sus registros para nuevas publicaciones y pausadas las versiones habituales mientras continúa la investigación.
