Brecha na LiteLLM vaza terabytes de credenciais de grandes empresas

O que aconteceu

Uma janela de 40 minutos, em março, foi suficiente para expor terabytes de credenciais de algumas das maiores e mais sensíveis organizações do mundo. Versões adulteradas da LiteLLM, ferramenta open source que simplifica o desenvolvimento de software com IA, ficaram disponíveis no repositório oficial do PyPI (Python Package Index). Quem executou esses pacotes teve o conteúdo da memória das máquinas copiado e enviado para um canal controlado pelos atacantes.

A revelação foi publicada na terça e na quarta-feira pelas empresas de segurança CloudSEK e Hudson Rock. A CloudSEK afirmou ter encontrado chaves de nuvem, tokens de repositórios, chaves SSH, segredos do Kubernetes, credenciais de publicação de pacotes, variáveis de ambiente e chaves de provedores de IA — dados que, juntos, podem dar acesso a mais de 2.500 organizações. Microsoft, Amazon, Cisco, Samsung e Salesforce estão entre as vítimas citadas.

A Hudson Rock chegou ao material após analisar um arquivo de 195TB. Segundo as duas empresas, cerca de 434.000 pipelines de CI/CD (integração e entrega contínuas) tiveram credenciais expostas. Nenhuma das duas identificou a origem das informações.

Contexto

O comprometimento da LiteLLM foi consequência de um ataque anterior à cadeia de suprimentos, que infectou o Trivy, um scanner de vulnerabilidades muito utilizado. A mesma campanha atingiu o KICS e o SDK Python da Telnyx. As quatro versões adulteradas carregavam código que acessava a memória dos sistemas infectados, coletava o conteúdo e o exfiltrava por um canal controlado pelos invasores.

O grupo TeamPCP, uma gangue pequena mas bastante capaz, formada em grande parte por adolescentes, reivindicou a autoria. Pesquisadores corroboraram em grande parte a alegação.

Por que importa

O pesquisador independente Kevin Beaumont afirmou ter confirmado a legitimidade dos dados com várias organizações vítimas. “É uma enorme brecha na cadeia de suprimentos causada por segurança ruim de IA — não porque a IA seja a ameaça, mas porque adolescentes conseguem superar organizações obcecadas em apressar a adoção de IA e com DevOps frágil”, escreveu.

O caso importa porque credenciais expostas de pipelines de software não afetam apenas as empresas diretamente atingidas. Com acesso a chaves de nuvem, tokens de repositório e segredos de CI/CD, um invasor pode injetar código malicioso em produtos distribuídos por essas organizações — transformando cada cliente em uma vítima potencial em cascata.

Impacto

No curto prazo, as organizações que usaram as versões comprometidas da LiteLLM durante a janela de 40 minutos precisam identificar se foram afetadas e rotacionar todas as credenciais expostas: chaves de nuvem, tokens e segredos não podem mais ser considerados confiáveis. No médio prazo, o vazamento de 434.000 pipelines de CI/CD abre caminho para novas invasões, roubo de dados e adulteração de software distribuído aos clientes das vítimas.

O incidente também atinge a confiança no ecossistema de ferramentas abertas de IA. A LiteLLM é amplamente adotada no desenvolvimento com modelos de linguagem, e foi essa popularidade que a transformou em alvo.

O que muda

A cadeia de suprimentos de ferramentas de IA passa a exigir o mesmo nível de revisão aplicado a qualquer dependência crítica de software. Pacotes baixados de repositórios oficiais, como o PyPI, deixam de ser aceitos como confiáveis por padrão. Times de segurança precisam monitorar versões publicadas, auditar o que entra nos ambientes de desenvolvimento e tratar o acesso à memória de máquinas de desenvolvedores como uma superfície de ataque real.

O que vem agora

O alcance total da exposição deve levar semanas para ser dimensionado. Nenhuma das duas empresas de segurança identificou a origem do arquivo analisado, e a atribuição ao TeamPCP, ainda que corroborada, não descarta que outros grupos tenham tido acesso aos dados. As equipes de segurança das organizações afetadas precisam auditar acessos, verificar logs e monitorar o uso das credenciais vazadas nos próximos meses.

Fontes

• Ars Technica: Terabytes of credentials leaked in massive supply-chain attack (https://arstechnica.com/security/2026/08/terabytes-of-credentials-leaked-in-massive-supply-chain-attack/)