# El ataque a la cadena de suministro LiteLLM compromete los paquetes PyPI y los registros Docker para recolectar secretos

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/es/article/litellm-supply-chain-attack-compromises-pypi-and-docker-image-2026-10-22-morn-es
Section: Software (https://technewslist.com/es/software)
Author: TechNewsList
Language: es
Published: 2026-10-22T05:59:54.022+00:00
Updated: 2026-10-22T05:59:54.238653+00:00

> Los investigadores de seguridad detectan un exploit malicioso en la cadena de suministro en LiteLLM versión 1.107.0, donde el secuestro de repositorios similares instaló puertas traseras para recolectar tokens API.

## TL;DR
- Los investigadores de seguridad identificaron una puerta trasera maliciosa instalada dentro de la versión 1.107.0 de LiteLLM en PyPI y en los registros oficiales de Docker Hub.
- El código comprometido se activó al importar para extraer variables de entorno, claves de AWS y credenciales del proveedor de modelos.
- Los atacantes aprovecharon el nombre de un repositorio de organización similar para falsificar el flujo de trabajo de lanzamiento automatizado del proyecto.
- Los administradores del índice de paquetes de Python actuaron rápidamente para poner en cuarentena la versión infectada y revocar las credenciales del editor.
- Se recomendó a las organizaciones que ejecutan versiones afectadas que roten inmediatamente todas las claves API y auditen el tráfico de red saliente.

## Key points
- Los investigadores de seguridad identificaron una puerta trasera maliciosa instalada dentro de la versión 1.107.0 de LiteLLM en PyPI y en los registros oficiales de Docker Hub.
- El código comprometido se activó al importar para extraer variables de entorno, claves de AWS y credenciales del proveedor de modelos.
- Los atacantes aprovecharon el nombre de un repositorio de organización similar para falsificar el flujo de trabajo de lanzamiento automatizado del proyecto.
- Los administradores del índice de paquetes de Python actuaron rápidamente para poner en cuarentena la versión infectada y revocar las credenciales del editor.
- Se recomendó a las organizaciones que ejecutan versiones afectadas que roten inmediatamente todas las claves API y auditen el tráfico de red saliente.

## Qué pasó

Los días 21 y 22 de octubre de 2026, investigadores de amenazas a la ciberseguridad de Socket y equipos de seguridad de software independientes revelaron un sofisticado ataque a la cadena de suministro que comprometió con éxito los paquetes de lanzamiento oficiales de LiteLLM, una biblioteca de código abierto ampliamente utilizada que proporciona abstracción de API unificada en múltiples proveedores de modelos de lenguaje grandes. La carga maliciosa se incrustó directamente en LiteLLM versión 1.107.0, distribuida tanto en el índice de paquetes de Python (PyPI) como en los registros oficiales de contenedores de Docker Hub.

El análisis forense reveló que los actores de amenazas explotaron los canales automatizados de integración continua y despliegue continuo (CI/CD) al establecer un repositorio de organización similar llamado "Berri-AI/litellm" para imitar el espacio de nombres legítimo de GitHub "BerriAI/litellm" del proyecto. Al envenenar las dependencias de compilación ascendentes y publicar artefactos de paquetes falsificados, los atacantes lograron deslizar ruedas traseras en el flujo de distribución oficial sin alertar a los mantenedores.

![El ciclo de vida del desarrollo de software y los canales de implementación automatizados son vulnerables a la inyección de dependencia de paquetes.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792648045156-tq83yl-litellm-supply-chain-attack-compromises-pypi-and-docker-image-2026-10-22-morning-inside-1-c0751f3af2.webp)
*El ciclo de vida del desarrollo de software y los canales de implementación automatizados son vulnerables a la inyección de dependencia de paquetes.*

Tras la instalación o el inicio del contenedor, la biblioteca envenenada ejecutó un script de inicialización ofuscado diseñado para recopilar variables de entorno confidenciales, incluidas claves de acceso de AWS, tokens de cuenta de servicio de GCP, secretos de API de OpenAI y credenciales de Anthropic. Las credenciales recopiladas se cifraron y se transmitieron fuera de banda a un servidor de comando y control controlado por el adversario registrado bajo un dominio de infraestructura de nube engañoso.

## Por qué importa

El compromiso LiteLLM resalta la aguda vulnerabilidad de las modernas pilas de aplicaciones de inteligencia artificial a la infiltración en la cadena de suministro de software de código abierto. A medida que las organizaciones se apresuran a crear aplicaciones de IA generativa y agentes autónomos, los desarrolladores han integrado docenas de bibliotecas de abstracción de código abierto especializadas, a menudo sin realizar auditorías de dependencia exhaustivas ni fijar hashes de paquetes criptográficos.

Debido a que LiteLLM sirve como un proxy central que enruta consultas empresariales a proveedores de modelos externos, la biblioteca opera inherentemente en entornos cargados con claves API corporativas de alto privilegio y secretos operativos confidenciales. Un compromiso exitoso de esta puerta de enlace central brinda a los actores de amenazas acceso inmediato y sin restricciones a modelos empresariales propietarios, historiales de avisos confidenciales y cuentas de infraestructura de nube subyacentes.

El incidente subraya la creciente sofisticación de los sindicatos de delitos cibernéticos que atacan las herramientas de desarrollo automatizadas. En lugar de atacar directamente los perímetros empresariales reforzados, los adversarios centran cada vez más sus recursos ofensivos en envenenar las dependencias compartidas de código abierto y los registros automatizados de paquetes en los que los desarrolladores modernos confían implícitamente.

## Detalles técnicos

El mecanismo de ataque fue diseñado con notable sigilo. Los adversarios inyectaron un gancho de inicialización secundario dentro del archivo de empaquetado principal de la biblioteca, ocultando la carga útil dentro de una cadena codificada en base64 formateada para parecerse a los metadatos de configuración de telemetría estándar. Cuando el tiempo de ejecución de Python importó el paquete, el enlace decodificó un script en memoria que enganchó las llamadas estándar del entorno del sistema.

La carga útil realizó una extracción de memoria inmediata, inspeccionando diccionarios del entorno de proceso en busca de cadenas de alta entropía que coincidieran con patrones de expresiones regulares conocidos para proveedores de nube, incluidas cadenas que comienzan con "sk-ant-", "sk-proj-", "AKIA" y formatos estándar de token de portador JWT. El malware también consultó los servicios de metadatos de instancias de nube locales (IMDSv2) para extraer credenciales de IAM temporales asociadas con el alojamiento de máquinas virtuales.

![Estación de trabajo de analista de ciberseguridad que inspecciona las cargas útiles del tráfico de red e identifica puntos finales de exfiltración.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792648047179-5229p2-litellm-supply-chain-attack-compromises-pypi-and-docker-image-2026-10-22-morning-inside-2-aae8a6c9ea.webp)
*Estación de trabajo de analista de ciberseguridad que inspecciona las cargas útiles del tráfico de red e identifica puntos finales de exfiltración.*

Para evadir los sistemas de detección de intrusiones en la red, las credenciales robadas se comprimieron usando gzip, se cifraron con una clave pública RSA incorporada y se transmitieron a través de solicitudes de túnel DNS asíncronas y tráfico HTTPS POST disfrazado de telemetría legítima de informe de errores enviada a un dominio de análisis falsificado.

El equipo de seguridad de Python Package Index actuó rápidamente al recibir el aviso de amenaza de Socket, poniendo en cuarentena la versión 1.107.0 comprometida dentro de los noventa minutos posteriores a la notificación formal y revocando el token de publicación comprometido. Posteriormente, los mantenedores lanzaron las versiones desinfectadas 1.107.1 y 1.107.2, acompañadas de certificaciones de procedencia de compilación criptográfica firmadas a través de Sigstore.

## Impacto en el mercado / la industria

La divulgación provocó conmociones en el ecosistema de desarrolladores empresariales, lo que provocó auditorías de seguridad de emergencia en miles de organizaciones que utilizan LiteLLM en entornos de producción. Usuarios corporativos destacados, incluidos proveedores de software empresarial, empresas de tecnología sanitaria e instituciones financieras, iniciaron protocolos de rotación de claves inmediatas, invalidando todas las credenciales de proveedores de IA que estaban activas durante la ventana de compromiso.

Los principales proveedores de nube emitieron avisos urgentes de seguridad para sus clientes. Amazon Web Services, Google Cloud y Microsoft Azure alertaron a los clientes que habían introducido la imagen del contenedor contaminada en sus registros de contenedores elásticos, proporcionando scripts de detección automatizados para identificar clústeres informáticos potencialmente comprometidos.

Se espera que el incidente acelere los mandatos regulatorios y corporativos que exigen la verificación obligatoria de la lista de materiales de software (SBOM) y la firma automatizada de dependencias. Los equipos de adquisiciones empresariales exigen cada vez más que los proveedores de software comercial demuestren una verificación estricta de la procedencia de los paquetes y generen hermeticidad antes de autorizar herramientas de inteligencia artificial de código abierto para la implementación de producción.

## Qué observar ahora

En los próximos días, los investigadores forenses de seguridad publicarán informes de atribución detallados que analizarán la infraestructura del servidor de comando y control, buscando determinar si el ataque fue orquestado por ciberdelincuentes con motivación financiera o por un actor de amenaza persistente avanzado patrocinado por el estado.

Los equipos de desarrollo que utilizan LiteLLM deben verificar que todos los entornos locales, los ejecutores de CI/CD y los pods de Kubernetes de producción se hayan actualizado a la versión 1.107.2 o posterior, y realizar revisiones exhaustivas de los registros de acceso en todos los paneles de control de proveedores de IA externos para detectar el consumo de API no autorizado.

Finalmente, los administradores de registros de código abierto y los líderes de fundaciones evaluarán políticas de seguridad más estrictas para paquetes de alto tráfico, incluidas claves de hardware de autenticación multifactor obligatorias para los editores, verificación automatizada de compilación de paquetes y estricta prevención de colisiones de espacios de nombres organizacionales.

## Fuentes

- [Aviso sobre amenazas a la seguridad de sockets](https://socket.dev/blog/litellm-compromised-pypi-docker-supply-chain-attack): Boletín de amenazas forenses que detalla hashes de paquetes maliciosos, puntos finales de exfiltración de credenciales y artefactos de liberación contaminados.
- [Informe de ciberseguridad de BleepingComputer](https://www.bleepingcomputer.com/news/security/litellm-python-ai-package-backdoored-on-pypi/): Cobertura de recuentos de descargas empresariales afectadas, guías de solución para desarrolladores y requisitos de revocación de claves API.
- [Análisis de seguridad del software de lectura oscura](https://www.darkreading.com/application-security/litellm-supply-chain-exploit-highlights-ci-cd-vulnerabilities): Examen técnico de las configuraciones de confianza de compilación automatizadas de GitHub Actions y los mecanismos de suplantación de nombres de repositorios.

Mentions: Socket Research Team, PyPI, LiteLLM, Python Software Foundation

## Sources
- [Aviso sobre amenazas a la seguridad de sockets](https://socket.dev/blog/litellm-compromised-pypi-docker-supply-chain-attack)
- [Informe de ciberseguridad de BleepingComputer](https://www.bleepingcomputer.com/news/security/litellm-python-ai-package-backdoored-on-pypi/)
- [Análisis de seguridad del software de lectura oscura](https://www.darkreading.com/application-security/litellm-supply-chain-exploit-highlights-ci-cd-vulnerabilities)