El miércoles 21 de octubre de 2026, LiteLLM detectó una alteración en su proceso de publicación alrededor de las 4:00 a.m. UTC. La intrusión permitió que la versión 1.107.0 del paquete Python fuera enviada a Docker Hub y al repositorio de PyPI con código malicioso. El paquete contiene un módulo de robo de credenciales y una puerta trasera que se activa al ejecutarse. Además, los logs del AI Gateway revelaron la exposición de tokens de GitHub, lo que amplifica el alcance del ataque.

Qué sabemos hasta ahora

Según el comunicado oficial de LiteLLM, los atacantes lograron comprometer "múltiples controles de seguridad independientes" en la cadena de suministro, lo que incluye el entorno de CI/CD y las credenciales de publicación. La versión 1.107.0 fue la única afectada; versiones anteriores y posteriores no presentan la carga maliciosa.

Los artefactos comprometidos fueron publicados simultáneamente en Docker Hub y en PyPI, lo que facilitó su distribución a usuarios que confían en los canales oficiales. LiteLLM ha revocado la versión afectada y está trabajando con los mantenedores de los repositorios para eliminarla.

"La filtración de tokens de GitHub en los logs del AI Gateway es un indicador crítico de que la cadena de suministro fue comprometida a nivel de infraestructura, no solo a nivel de código" – Equipo de respuesta de incidentes de LiteLLM.

Análisis técnico

El vector de ataque corresponde a un compromiso de la pipeline de CI/CD, probablemente mediante la obtención de credenciales de acceso al registro de Docker y a la cuenta de PyPI. Una vez dentro, los actores insertaron código que captura variables de entorno como GITHUB_TOKEN y las envía a un servidor controlado por el atacante mediante una petición HTTP POST.

El módulo de backdoor se activa al iniciar la librería, creando un proceso persistente que permite la ejecución remota de comandos bajo el contexto del usuario que instaló el paquete. La combinación de robo de credenciales y acceso remoto constituye una cadena de explotación típica de ataques a la cadena de suministro.

Para mitigar futuros incidentes, se recomienda habilitar firmas de paquetes (p. ej., pip install --require-hashes), aplicar políticas de verificación de integridad en los pipelines y rotar inmediatamente cualquier token expuesto. Además, la monitorización de logs de AI Gateway debe incluir alertas para patrones de extracción de credenciales.

Impacto y alcance

El hallazgo de LiteLLM expone una vulnerabilidad que afecta a cualquier organización que haya integrado el paquete comprometido en sus flujos de IA. Los sectores que dependen de modelos de lenguaje para automatizar procesos —como fintech, salud, telecomunicaciones y comercio electrónico— son los más expuestos, ya que suelen confiar en la cadena de suministro de paquetes de Python para acelerar sus despliegues.

Los riesgos se concentran en la posible filtración de tokens de acceso a repositorios privados y en la ejecución de código malicioso dentro de entornos de AI Gateway. Hasta el momento, la comunidad no ha reportado exploits públicos que hayan aprovechado la fuga, pero la mera exposición de credenciales permite a actores malintencionados intentar accesos no autorizados o manipular los logs para ocultar actividades sospechosas.

¿Cómo afecta esto a LATAM?

Empresas de la región que utilizan servicios de IA alojados en la nube y que integran bibliotecas de código abierto para orquestar sus modelos pueden estar utilizando, sin saberlo, la versión vulnerada del paquete. En México, Colombia y Argentina, varios proveedores de soluciones de IA han anunciado revisiones de sus dependencias, lo que indica que la amenaza ya está en la agenda de los equipos de seguridad locales.

El ecosistema de startups y medianas empresas que desarrollan chatbots, asistentes virtuales y análisis predictivo en LATAM depende en gran medida de la agilidad que ofrecen los paquetes de Python. La exposición de tokens podría comprometer datos sensibles de clientes y de la propia infraestructura, generando un escenario de confianza quebrantada que repercutirá en la adopción de tecnologías de IA en la región.

Qué deben hacer los equipos de seguridad

  • Auditar inmediatamente los proyectos que incluyan el paquete afectado y verificar la versión instalada.
  • Revocar y regenerar los tokens de acceso que hayan sido expuestos en los logs, aplicando rotación de credenciales de forma inmediata.
  • Implementar políticas de escaneo de dependencias en tiempo real, usando herramientas de SCA (Software Composition Analysis) que alerten sobre versiones vulnerables.
  • Revisar los logs de AI Gateway en busca de patrones de comportamiento anómalo que puedan indicar extracción de datos o ejecución de código no autorizado.
  • Establecer controles de acceso estrictos a los repositorios de código y limitar la exposición de credenciales en entornos de desarrollo y producción.
  • Comunicar de forma transparente a los equipos de desarrollo y a la alta dirección la naturaleza del riesgo y los pasos de mitigación adoptados.

Reflexión

¿Hasta qué punto confiamos en la cadena de suministro de código abierto cuando delegamos decisiones críticas a la inteligencia artificial? La vulnerabilidad de LiteLLM nos recuerda que la rapidez de la innovación no debe eclipsar la necesidad de una vigilancia constante. El próximo desafío será equilibrar la velocidad de adopción con una postura de seguridad que no deje brechas para que los atacantes las exploten.