Ataque à LiteLLM vaza credenciais de 2.500+ empresas

Um ataque à cadeia de suprimentos da LiteLLM, ferramenta de código aberto que simplifica o desenvolvimento de software com IA, expôs terabytes de credenciais de mais de 2.500 organizações, incluindo Microsoft, Amazon, Cisco, Samsung e Salesforce. As empresas de segurança CloudSEK e Hudson Rock divulgaram a violação em 11 e 12 de agosto de 2026.

As credenciais roubadas foram coletadas durante uma janela de 40 minutos em março de 2026, a partir de máquinas que executavam as versões 1.82.7 e 1.82.8 da LiteLLM, baixadas do repositório oficial do Python Package Index. A Hudson Rock analisou um arquivo de 195 TB e confirmou que cerca de 434.000 pipelines de software CI/CD (integração contínua/entrega contínua) tiveram credenciais expostas.

Os pesquisadores muitas vezes não conseguiram atribuir muitas credenciais a organizações específicas, pois os pipelines não possuem informações identificáveis da empresa, embora a CloudSEK e a Hudson Rock tenham publicado uma lista de alta confiança das entidades afetadas. O comprometimento da LiteLLM originou-se de um ataque anterior à cadeia de suprimentos do scanner de vulnerabilidades Trivy, que também infectou o KICS e o SDK Python da Telnyx.

O grupo TeamPCP, composto em grande parte por adolescentes, reivindicou a autoria, e os pesquisadores corroboraram amplamente essa alegação. O pesquisador independente de segurança Kevin Beaumont disse que confirmou a legitimidade dos dados com várias organizações vítimas e que a violação resultou de más práticas de segurança de IA e de DevOps apressado, e não da IA em si como ameaça.

Os dados roubados incluem senhas ativas de bancos de dados, chaves de API de terceiros e credenciais de nuvem, muitas das quais ainda são válidas. A CloudSEK e a Hudson Rock estão pedindo que todas as organizações que usaram as versões comprometidas da LiteLLM rotacionem imediatamente todas as credenciais de pipeline. A Hudson Rock aconselhou as partes afetadas a assumir que qualquer segredo acessível ao ambiente LiteLLM está comprometido, invalidar chaves de nuvem e tokens do Kubernetes e auditar o registro de logs e a filtragem de saída.

Os desenvolvedores do Trivy rotacionaram, mas não revogaram completamente um token de automação por um período de 20 dias, dando aos atacantes quase três semanas para enviar código malicioso para builds de terceiros, disse a CloudSEK. "Essa magnitude nos leva a um mundo completamente novo em relação ao tipo de resposta exigida da indústria de segurança cibernética", disse Alon Gal, cofundador e diretor de tecnologia da Hudson Rock.