En octubre, atacantes publicaron versiones alteradas de LiteLLM en PyPI y de varios paquetes de npm que robaban contraseñas y llaves de nube al instalarse. Qué pasó y qué deben cambiar los equipos de desarrollo.
Octubre de 2026 volvió a mostrar que el riesgo no solo está en el código propio, sino también en las librerías que se descargan para construirlo. En pocas semanas, atacantes publicaron versiones alteradas de herramientas populares que robaban credenciales en cuanto se instalaban, un tipo de ataque conocido como ataque a la cadena de suministro del software.
LiteLLM 1.107.0: dos horas bastaron
LiteLLM es una librería de Python muy usada para conectar aplicaciones con modelos de inteligencia artificial. El 21 de octubre, entre las 11:39 y las 13:23 UTC (de 6:39 a 8:23 a. m., hora de Colombia), estuvo publicada en PyPI una versión 1.107.0 maliciosa, y las imágenes de Docker con las etiquetas v1.107.0, latest, main-latest y main-stable también resultaron afectadas, en ese caso hasta cerca de las 14:20 UTC.
El código instalaba archivos que se ejecutan cada vez que arranca Python, aunque el programa nunca importe LiteLLM: robaba llaves de nube y de servicios de IA y abría un acceso remoto para los atacantes. El equipo de LiteLLM cree que los atacantes obtuvieron tokens de GitHub de tres desarrolladores a partir de los registros de un despliegue interno expuesto a internet, y que apuntaron el proceso de publicación a un repositorio con un nombre casi idéntico (Berri-AI/litellm). La versión segura recomendada es la 1.106.2.
npm y otros paquetes comprometidos
- tensorlake 0.5.144 (8 de octubre, durante una hora y 40 minutos): una variante del gusano Shai-Hulud que robaba secretos de npm, GitHub, AWS, SSH y archivos
.env, se republicaba en otros paquetes de la víctima y podía borrar la carpeta personal del usuario si se revocaba su token de GitHub. Tensorlake pide quitar el servicio maliciosogh-token-monitorantes de cambiar los tokens; la versión segura es la 0.5.143. - @subql/common 5.8.3 (5 de octubre): según StepSecurity, que hizo el hallazgo, un flujo de publicación modificado descargaba un paquete sustituto malicioso que se activaba al instalar y al importar la librería. La versión segura es la 5.8.2.
- CLI de OVHcloud (19 de octubre): la cuenta de GitHub de un desarrollador de OVHcloud, comprometida por una extensión maliciosa en su computador personal, se usó para reemplazar los binarios de las versiones 0.11.0 a 0.15.0 durante unos 94 minutos. La versión limpia es la 0.16.0.
Por qué ya no basta con bloquear los scripts de instalación
Bloquear los scripts que se ejecutan al instalar dependencias ayuda, pero varios de estos ataques se activan al importar el paquete o al arrancar Python, y algunos se publicaron a través de los procesos de publicación de confianza del propio proyecto.
Qué deben hacer los equipos de desarrollo
- Fija versiones exactas y usa archivos de bloqueo (
package-lock.json,poetry.lock,uv.lock). - Espera unos días antes de adoptar una versión recién publicada, salvo que sea un parche de seguridad.
- Si instalaste una versión afectada, trata el equipo como comprometido: cambia todas las credenciales que tenía a su alcance y reconstruye entornos e imágenes desde cero.
- Usa tokens de corta duración y con permisos mínimos en la integración continua, y separa los secretos de producción de los de desarrollo.
- Monitorea las conexiones de salida de servidores y pipelines: el robo de credenciales necesita enviar los datos a algún lugar.
Actualización del 31 de octubre: avisos de cada proyecto
Revisamos esta noticia contra los avisos de LiteLLM, Tensorlake y OVHcloud, y el informe de StepSecurity, que encontró el ataque a @subql/common. Corregimos la fecha de tensorlake (solo estuvo publicado el 8 de octubre) y el origen del ataque a OVHcloud, y agregamos que hay que quitar el servicio malicioso de tensorlake antes de cambiar los tokens. LiteLLM advirtió el 23 de octubre que partes de su primer reporte eran imprecisas, así que su versión de los hechos puede cambiar.
Cómo te ayudamos
En nuestros proyectos de desarrollo de software a la medida fijamos dependencias, revisamos cada actualización y manejamos los secretos fuera del código. Si tu equipo usa LiteLLM u otras herramientas de IA, también te ayudamos a revisar tus integraciones con inteligencia artificial.
Fuentes
- LiteLLM: reporte del incidente de la versión 1.107.0 (21 de octubre de 2026)
- Microsoft Security: análisis del ataque a LiteLLM 1.107.0 (23 de octubre de 2026)
- Tensorlake: aviso sobre la versión maliciosa 0.5.144 (8 de octubre de 2026)
- StepSecurity: ataque al ecosistema de SubQuery (5 de octubre de 2026)
- OVHcloud: incidente de seguridad de su CLI (20 de octubre de 2026)
Fuente: LiteLLM
