Se a sua empresa montou um chatbot, um atendimento com inteligência artificial ou alguma automação que conversa com mais de um modelo de IA, vale abrir o projeto hoje e conferir uma linha. Em 21 de outubro de 2026, a biblioteca LiteLLM, muito usada para ligar sistemas a modelos como os da OpenAI, Anthropic e Google, teve uma versão adulterada publicada nos canais oficiais. Quem instalou a versão 1.107.0 naquelas horas recebeu junto um programa que rouba senhas e chaves.
O próprio LiteLLM confirmou o ataque num relatório pós-incidente. É um caso clássico de ataque à cadeia de fornecedores de software: você não baixou nada suspeito, só atualizou uma dependência pelo caminho de sempre.
O que aconteceu
Segundo o relatório do LiteLLM, uma credencial de desenvolvedor foi usada para contornar a proteção do fluxo de publicação. Entre 11h39 e 11h40 do horário universal de 21 de outubro (8h39 em Brasília), sete pacotes maliciosos da versão `litellm==1.107.0` foram enviados ao PyPI, o repositório oficial de bibliotecas Python.
As versões contaminadas ficaram no ar por algumas horas, em três canais:
- PyPI: versão 1.107.0, das 11h39 às 13h23 UTC.
- Docker Hub: imagens com as tags v1.107.0, latest, main-latest e main-stable, das 11h46 às 14h20 UTC.
- GHCR (registro de imagens do GitHub): as mesmas tags, até 13h51 UTC.
O que o programa malicioso faz
O pacote adulterado instala três arquivos, `cook.pth`, `cook.py` e `sitecustomize.py`, que rodam toda vez que o Python inicia, inclusive quando alguém roda o `pip`. Ele também deixa um processo em segundo plano que trava o arquivo `/tmp/remote_code_loader.lock`.
Segundo o BleepingComputer, que cita análises das empresas de segurança Socket e Endor Labs, o programa coleta e envia para fora:
- chaves de nuvem (AWS, Azure, Google Cloud);
- chaves de APIs de inteligência artificial;
- o arquivo `.env`, onde costumam ficar senhas de banco de dados e de serviços;
- credenciais de Git, npm e PyPI e chaves SSH;
- dados salvos no navegador da máquina.
Quem precisa se preocupar
O risco é de quem instalou ou atualizou o LiteLLM sem fixar versão naquela janela de 21 de outubro, e de quem usa as imagens Docker com a tag `latest` ou `main-stable` e reiniciou o contêiner no período. Isso inclui servidores de produção, máquinas de desenvolvedores e esteiras de publicação automática (CI/CD).
Muitas pequenas empresas não sabem que usam o LiteLLM: ele costuma vir dentro de um projeto entregue por um fornecedor, de um agente de atendimento ou de uma ferramenta de código aberto. Por isso a pergunta certa para a sua equipe ou para quem cuida do seu sistema é direta: "algum servidor nosso instalou o LiteLLM 1.107.0?".
O LiteLLM não informou quantas instalações foram afetadas, e não há dado do Brasil. A empresa também diz apenas que "suspeita" de como o invasor conseguiu o acesso inicial e menciona uma falha que só será divulgada em 27 de outubro.
O que fazer agora
O roteiro abaixo segue as recomendações do próprio LiteLLM:
- Procure a versão 1.107.0. Confira arquivos de dependência (`requirements.txt`, `poetry.lock`), imagens Docker e registros da esteira de publicação de 21 de outubro.
- Não rode `pip install` antes de limpar. O código malicioso roda a cada início do Python, então instalar por cima só aciona o programa de novo.
- Remova os arquivos e encerre o processo. Apague `cook.pth`, `cook.py` e `sitecustomize.py` e encerre o processo que trava `/tmp/remote_code_loader.lock`. Em contêiner, o caminho mais limpo é descartar a imagem e montar de novo.
- Reinstale fixando a versão limpa. O LiteLLM indica `litellm==1.106.2`.
- Considere que houve roubo. Se a máquina tinha acesso à internet, trate tudo o que ela enxergava como vazado.
- Troque todas as chaves e senhas. Nuvem, APIs de IA, banco de dados, Git, chaves SSH e o que mais estivesse no `.env`. Depois, olhe a fatura da nuvem e das APIs de IA nos próximos dias: chave roubada costuma virar conta alta.
- Fixe versões daqui para a frente. Dependência sem versão fixa e imagem `latest` em produção são portas abertas para o próximo ataque desse tipo.
Por que isso importa para a pequena empresa
Ataque à cadeia de fornecedores pega quem faz tudo certo no dia a dia. A empresa não clicou em link estranho, não baixou anexo, só atualizou uma biblioteca popular. E as chaves de IA e de nuvem viraram alvo valioso: com elas o criminoso usa a sua conta, acessa a sua base de clientes e deixa a conta no seu CNPJ, inclusive perante a LGPD se houver dado pessoal envolvido.
A defesa passa por rotina: inventário do que o sistema usa, versões fixadas, chaves com permissão mínima e guardadas fora do código, e alguém responsável por ler os alertas de segurança das dependências.
Onde a Oneck entra
A frente de Software & Sistemas da Oneck Creative desenvolve e mantém sistemas e automações com IA com versões fixadas, chaves isoladas e rotina de atualização. Se você não sabe o que roda dentro do seu chatbot ou da sua automação, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: LiteLLM: relatório do incidente de segurança de 21/10/2026; BleepingComputer: esteira de publicação do LiteLLM invadida para distribuir ladrão de senhas; Socket: LiteLLM compromise; Endor Labs: litellm 1.107.0 compromised.
