O LiteLLM, ferramenta de código aberto muito usada por desenvolvedores de inteligência artificial, admitiu que uma chave de acesso exposta por engano em maio esteve por trás de um ataque à cadeia de suprimentos que atingiu, segundo estimativas, dezenas de milhares de usuários na semana passada. Ou seja, o ataque veio por um programa confiável que as pessoas baixam para usar.

Segundo a análise publicada na sexta-feira, a empresa havia publicado por engano um arquivo de configuração com a chave mestra de uma ferramenta interna usada para rodar agentes de IA. Ela percebeu o erro e removeu o arquivo, mas não revogou a chave, ou seja, não cancelou o acesso que ela dava. Em março, a mesma chave foi usada por um invasor não identificado para pegar um token de acesso com controle sobre todos os repositórios do LiteLLM no GitHub, espécie de cofre digital do código.

Com esse acesso, o invasor distribuiu na semana passada uma versão da ferramenta com um malware que rouba credenciais. Segundo a Wiz, empresa de segurança do Google, o pacote foi baixado cerca de 49 mil vezes e as credenciais de nuvem roubadas começaram a ser testadas em poucas horas. O pacote ficou cerca de duas horas disponível no PyPI, repositório oficial de programas da linguagem Python. Em cerca de quatro horas e meia, o invasor já tentava usar logins da AWS, serviço de nuvem da Amazon, para descobrir quais modelos de IA das contas podiam acessar.

A Wiz chamou esse padrão de LLMjacking: criminosos usam contas de nuvem roubadas para rodar serviços de IA e deixam a conta para a vítima pagar. Até o momento, nenhuma organização afetada confirmou publicamente uma invasão ligada a essa versão. Segundo a Microsoft, o malware foi feito para rodar sempre que a linguagem Python iniciava em uma máquina infectada, mesmo que o programa executado não usasse o LiteLLM.

O LiteLLM orientou que quem instalou a versão comprometida 1.107.0 em um computador conectado à internet deve considerar que suas credenciais foram roubadas, trocando todas as senhas e chaves de acesso que aquele computador podia alcançar. A empresa também está revogando tokens em seus sistemas internos e em plataformas de fornecedores. Este é o segundo incidente desse tipo no LiteLLM neste ano: em março, versões maliciosas foram publicadas no PyPI em uma campanha ligada ao grupo TeamPCP, e a polícia australiana já acusou dois homens de integrar o grupo.