- La versión comprometida 1.107.0 de LiteLLM incorporó un ladrón de credenciales y una puerta trasera persistente.
- Los atacantes vulneraron tres cuentas de ingenieros en GitHub mediante tokens de autorización OAuth sustraídos.
- El paquete malicioso fue puesto en cuarentena en el repositorio oficial PyPI y las imágenes de Docker fueron retiradas.
- Especialistas en seguridad recomiendan revocar credenciales de API de proveedores como OpenAI y Anthropic de inmediato.
Mecanismo del ataque y exfiltración de credenciales en entornos de desarrollo
El ecosistema global de desarrollo de inteligencia artificial ha sufrido un impacto crítico tras confirmarse un grave ataque a la cadena de suministro de software contra LiteLLM, una popular biblioteca de código abierto en Python empleada por miles de empresas para estandarizar llamadas a más de un centenar de modelos de lenguaje. De acuerdo con informes técnicos divulgados por las firmas de ciberseguridad SafeDep, Socket, StepSecurity y Upwind el 21 de octubre de 2026, atacantes no identificados lograron publicar la versión 1.107.0 contaminada directamente en el repositorio oficial Python Package Index (PyPI) y en el registro público de contenedores de Docker Hub.
La intrusión se materializó tras el compromiso simultáneo de tres cuentas pertenecientes a ingenieros del proyecto en GitHub, presuntamente vulneradas a través de tokens de autenticación OAuth sustraídos del cliente de línea de comandos. Los actores de amenazas utilizaron la cuenta de uno de los desarrolladores para activar el flujo automatizado de publicación mediante la herramienta project-releaser, mientras que emplearon una segunda cuenta comprometida para aprobar formalmente el despliegue del paquete malicioso, eludiendo los controles rutinarios de revisión paritaria. Oliver Jensen, director de seguridad de LiteLLM, confirmó que la organización procedió de inmediato a revocar todos los identificadores involucrados e inició una auditoría forense integral de sus canalizaciones de integración continua.
El artefacto malicioso integraba una carga útil altamente encubierta diseñada para activarse de forma transparente en el instante en que cualquier aplicación importaba la librería. Una vez ejecutado en el sistema anfitrión, el módulo iniciaba un barrido exhaustivo de las variables de entorno, historiales de consola y archivos de configuración locales, con el objetivo de sustraer claves secretas de proveedores de computación en la nube como Amazon Web Services (AWS) y Google Cloud Platform, además de tokens de acceso para plataformas de inteligencia artificial como OpenAI y Anthropic. La información recolectada era empaquetada y transmitida mediante peticiones cifradas hacia servidores remotos de comando y control antes de que los equipos de operaciones detectaran anomalías operativas.
Medidas de mitigación inmediata y directrices para equipos de ingeniería
Ante la gravedad de esta brecha en la cadena de suministro, las principales firmas de defensa digital han instado a todas las organizaciones que hayan descargado o actualizado LiteLLM a la versión 1.107.0 a considerar sus entornos como plenamente comprometidos. Las directrices de respuesta a incidentes exigen aislar de inmediato las instancias virtuales y contenedores afectados, revertir las instalaciones hacia versiones verificadas como la 1.106.3 o actualizaciones limpias posteriores, y proceder a la rotación obligatoria de todas las claves de API, secretos de bases de datos y certificados que hayan residido en la memoria o configuración de dichos servidores.
Asimismo, los equipos de ciberdefensa recuerdan que las dependencias de código abierto requieren auditorías automatizadas continuas y esquemas de firma criptográfica respaldados por iniciativas como Sigstore. Los análisis de la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) y organismos internacionales destacan que los entornos de integración continua (CI/CD) se han convertido en el flanco predilecto del cibercrimen organizado para acceder lateralmente a redes corporativas de gran envergadura. Este nuevo episodio de alerta tecnológica coincide con un contexto de alta sensibilidad digital, donde fallas imprevistas obligan a respuestas inmediatas, tal como ocurrió recientemente tras la alerta crítica de ciberseguridad que obligó a parchear servidores de PHP en millones de plataformas web.
Para minimizar la exposición futura, los especialistas recomiendan implementar políticas de mínimo privilegio en los tokens de acceso a repositorios, deshabilitar la generación automática de paquetes sin aprobación manual multifactorial y configurar firewalls de aplicaciones que bloqueen conexiones salientes no autorizadas originadas en entornos de producción algorítmica.
