Comunidade de IA em alerta após biblioteca litellm ser alvo de ataque à cadeia de suprimentos de software

A comunidade de desenvolvedores de IA foi abalada por um alerta recente do renomado cientista de IA Andrej Karpathy, revelando um ataque direcionado de contaminação na cadeia de suprimentos de software de IA. O alvo é a popular biblioteca Python litellm, que conta com mais de 40.000 estrelas no GitHub e quase 100 milhões de downloads mensais. Por ser um adaptador universal para chamar as principais APIs de modelos de IA, o comprometimento da biblioteca desencadeou um efeito dominó, com potencial para afetar toda a cadeia de ferramentas de desenvolvimento de IA.

Infectada na instalação: a operação “invisível” do código malicioso

A discrição do ataque decorre de seu gatilho inteligente. Agentes maliciosos inseriram um arquivo malicioso .pth em duas versões específicas do litellm no PyPI (versões 1.82.7 e 1.82.8).

Execução automática: basta instalar qualquer uma dessas versões comprometidas via pip install faz com que o código malicioso seja executado automaticamente a cada inicialização de um processo Python. Não é necessária nenhuma importação manual ou chamada de função — seu sistema fica exposto no momento em que a instalação é concluída.

Exfiltração abrangente de dados: uma vez ativo, o código coleta agressivamente uma ampla gama de dados confidenciais do host. Isso inclui chaves SSH, credenciais de nuvem (AWS/GCP), chaves do Kubernetes, carteiras de criptomoedas e todas as variáveis de ambiente — que frequentemente contêm valiosas chaves de API de modelos de grande porte. As informações roubadas são criptografadas e transmitidas para o servidor remoto do invasor.

Uma reviravolta inesperada: o invasor exposto por um “bug”

Esse crime, que poderia ter passado despercebido por muito tempo, foi frustrado pelo próprio erro do hacker. Um desenvolvedor percebeu que o uso de memória de sua máquina disparou repentinamente enquanto usava uma extensão no editor Cursor.

A investigação revelou que o código malicioso acionou uma “fork bomb” — uma replicação exponencial que rapidamente travou o sistema. Essa instabilidade se tornou a pista crucial que permitiu aos pesquisadores de segurança rastrear o problema até o pacote contaminado. Karpathy observou que, se o código do invasor tivesse sido escrito com mais competência, esse roubo em grande escala ainda poderia estar em andamento.

Reação em cadeia: como as ferramentas de segurança se tornaram o “portador da faca”

O incidente destaca uma cascata de falhas na cadeia de suprimentos. O grupo de invasores, TeamPCP, primeiro comprometeu a ferramenta de varredura de segurança Trivy. Usando credenciais roubadas, eles obtiveram o token de lançamento do litellm, contornaram a revisão de código e enviaram o pacote malicioso diretamente para o PyPI.

As consequências são extensas. Mais de 2.000 ferramentas de IA amplamente utilizadas, incluindo DSPy, MLflow e Open Interpreter, dependem indiretamente dessa biblioteca. Especialistas em segurança aconselham urgentemente que os desenvolvedores verifiquem suas instalações executando pip show litellm. Se a versão for 1.82.7 ou superior, considere que houve vazamento total de credenciais e troque imediatamente todas as chaves e tokens confidenciais.