# LiteLLM, biblioteca de IA com 92 milhões de downloads mensais, teve versão com malware que roubava credenciais

> Durante cerca de duas horas, quem instalou a versão 1.107.0 do LiteLLM pelo pip ou pelo Docker recebeu um programa que recolhia credenciais da nuvem, chaves de IA e dados guardados no browser. A empresa já retirou os pacotes e manda voltar à 1.106.2, mas limpar a instalação não chega.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/litellm-biblioteca-de-ia-com-92-milhoes-de-downloads-mensais-teve-versao-com
- Categoria: Segurança
- Autoria: Redação
- Publicado: 27 de outubro de 2026
- Etiquetas: LiteLLM, Python, PyPI, Malware, Cadeia de fornecimento

## Em resumo

- A versão 1.107.0 do LiteLLM esteve no PyPI das 11h39 às 13h23 UTC de 21 de outubro, e as imagens Docker adulteradas até às 14h20.
- O malware roubava credenciais da AWS, Azure e Google Cloud, chaves de serviços de IA, chaves SSH, ficheiros .env e dados guardados nos browsers.
- Os ficheiros maliciosos corriam sempre que o Python arrancava no sistema, incluindo ao usar o pip para investigar a instalação.
- A LiteLLM recomenda fixar a versão 1.106.2, reconstruir os ambientes afetados e trocar todas as credenciais a que a máquina tinha acesso.
- Segundo a empresa, o atacante usou tokens do GitHub de três programadores, obtidos nos registos de um servidor interno exposto à internet.

O LiteLLM, uma das ferramentas mais usadas por quem programa aplicações com inteligência artificial, foi vítima de um ataque à cadeia de fornecimento. Na manhã de 21 de outubro, um atacante conseguiu publicar no PyPI, o repositório de pacotes do Python, e no Docker uma versão 1.107.0 com malware que rouba credenciais e instala ferramentas para executar código à distância. A biblioteca serve de ponte entre as aplicações e modelos de IA de vários fornecedores, através de uma interface comum. Segundo o BleepingComputer, tem 92 milhões de downloads mensais no PyPI e é usada por empresas como a NVIDIA e a Netflix.

## Quem foi afetado

A janela foi curta, mas suficiente. Segundo o relatório publicado pela própria LiteLLM, os sete pacotes da versão 1.107.0 estiveram no PyPI entre as 11h39 e as 13h23 UTC (12h39 e 14h23 em Lisboa). No Docker Hub, as etiquetas v1.107.0, latest, main-latest e main-stable apontaram para a imagem adulterada entre as 11h46 e as 14h20 UTC. Está em risco quem instalou o LiteLLM sem fixar a versão nesse intervalo, ou arrancou um contentor com uma dessas etiquetas. As versões anteriores são seguras, e os clientes da versão empresarial privada não foram afetados.

O código publicado no GitHub não tinha o malware. O atacante mexeu só nos pacotes de instalação, onde acrescentou três ficheiros (cook.pth, cook.py e sitecustomize.py) que o Python executa sozinho sempre que arranca. Segundo as empresas de segurança Socket e Endor Labs, citadas pelo BleepingComputer, o programa recolhia credenciais da AWS, Azure, Google Cloud e Kubernetes, chaves de serviços de IA, chaves SSH, ficheiros .env e até palavras-passe, cookies e dados de pagamento guardados nos browsers. Tudo era cifrado e enviado para um endereço controlado pelo atacante.

## Como a LiteLLM foi atacada

A empresa já tinha sido alvo de um ataque semelhante em março e diz que reforçou depois o processo de publicação. Desta vez, o atacante tinha tokens de acesso ao GitHub de três programadores, um deles dono da organização, e usou-os para desligar as proteções e apontar a publicação para um repositório falso, Berri-AI/litellm em vez de BerriAI/litellm. A LiteLLM acredita que os tokens foram obtidos nos registos de um servidor interno exposto à internet. A empresa diz ter observado casos em que o Claude Code, o assistente de programação da Anthropic, incluía o token do GitHub nas respostas, que acabaram guardadas nesses registos.

## O que fazer

Se instalaste a 1.107.0, a LiteLLM manda tratar o ambiente como comprometido. Não corras o pip para investigar, porque isso volta a ativar o malware. Apaga os três ficheiros e as versões compiladas em todas as pastas site-packages, termina o processo escondido que fica a correr e reinstala com a versão fixa 1.106.2, ou, melhor, reconstrói os ambientes do zero. Depois troca todas as credenciais a que a máquina tinha acesso, incluindo as chaves de fornecedores guardadas na base de dados do LiteLLM. A empresa tem ainda marcada para 27 de outubro a divulgação de outra vulnerabilidade, cuja correção já distribuiu aos clientes empresariais num registo privado, por isso convém confirmar nesse dia se há versão nova.