Paquete malicioso de LiteLLM 1.107.0 pudo ejecutar código y robar credenciales

El 21 de octubre de 2026, el flujo de publicación de LiteLLM fue comprometido y distribuyó artefactos maliciosos de la versión 1.107.0 en PyPI y registros oficiales de contenedores. La página de respuesta de LiteLLM indicó que el paquete de PyPI estuvo disponible aproximadamente de 11:39 a 13:23 UTC; varias etiquetas de Docker Hub y GitHub Container Registry apuntaron a imágenes alteradas durante una ventana que terminó entre las 13:51 y las 14:20 UTC, según el registro afectado.

Microsoft analizó los artefactos y reportó mecanismos de inicio de Python que podían ejecutar código sin que la aplicación importara activamente LiteLLM. El código buscaba credenciales y datos accesibles para el proceso; en Unix también podía recuperar código adicional. LiteLLM señaló que retiró los artefactos afectados y que sus versiones previas no estaban comprometidas por este incidente específico.

El riesgo alcanza a quien instaló litellm==1.107.0 durante la ventana, ejecutó las imágenes v1.107.0 o usó las etiquetas móviles latest, main-latest o main-stable mientras apuntaban al índice malicioso. Esto incluye gateways de modelos, estaciones de desarrollo, runners de CI/CD, pruebas y contenedores que arrancaron Python con el paquete instalado.

LiteLLM y Microsoft describieron acceso potencial a claves de proveedores de modelos, secretos en variables de entorno, credenciales de nube y material de desarrollo. La exposición real depende de qué secretos estaban accesibles y de si el payload se ejecutó. No se debe asumir que un sistema está limpio solo porque el paquete ya fue retirado del registro.

La explicación inicial de LiteLLM atribuyó el incidente al compromiso de su cadena de publicación y a la disponibilidad temporal de credenciales con permisos para modificar flujos y publicar. Microsoft documentó que los artefactos incluían archivos de inicio que Python procesa al preparar un entorno, por lo que ejecutar comandos Python ordinarios podía activar la carga maliciosa.

La investigación inicial de LiteLLM fue actualizada posteriormente: la propia empresa advirtió que algunas hipótesis publicadas durante las primeras horas eran incompletas y enlazó un informe canónico del ataque. Microsoft confirmó el comportamiento observado en los paquetes y explicó que no determinó de forma independiente cómo se obtuvo el acceso inicial al entorno upstream. Conviene separar hechos técnicos analizados de atribuciones aún investigadas.

Si la organización instaló el paquete o ejecutó una imagen afectada dentro de las ventanas confirmadas, debe tratar el entorno como potencialmente comprometido. La guía del proveedor recomienda no iniciar Python ni pip en el entorno sospechoso antes de aislarlo, porque la inicialización del intérprete podría volver a activar el código. El equipo debe contener el host o contenedor, preservar evidencia y revisar instalaciones, cachés, mirrors internos, lockfiles e imágenes construidas.

Después de contener, reconstruya desde una base conocida y verifique versiones y digests. Rote claves de proveedores de modelos, tokens, contraseñas de base de datos, credenciales cloud, SSH y secretos a los que el proceso pudo acceder. Revise registros de identidad y nube para detectar uso fuera de patrón, y actualice dependencias fijando versiones conocidas como seguras según el aviso vigente del proveedor.

El anuncio no permite afirmar que todas las instalaciones de LiteLLM fueran afectadas ni que cada entorno comprometido sufriera exfiltración confirmada. La ventana y los artefactos concretos son el criterio de exposición; las etiquetas de contenedor son mutables y pueden haber sido repuntadas después. La respuesta debe comparar hashes y registros de descarga con los indicadores técnicos publicados por LiteLLM y Microsoft.

El incidente muestra por qué la verificación de procedencia, los permisos mínimos en CI/CD, la firma de artefactos, la inmutabilidad de etiquetas y la rotación de secretos son controles centrales para software de IA. Los equipos que consumen gateways LLM deben incluir paquetes, imágenes, credenciales de modelos y pipelines de publicación en su inventario y respuesta a incidentes.