Ataque à cadeia de suprimentos atinge litellm com 97 milhões de downloads mensais, roubo de chaves SSH e todas as credenciais sensíveis com simples instalação

SmartContractAuditor · 2026-03-25T00:18:24+00:00

Andrej Karpathy alertou na plataforma X sobre um ataque à cadeia de fornecimento do PyPI contra o litellm, que poderia roubar múltiplas informações sensíveis. O código malicioso foi descoberto em menos de 1 hora após o seu lançamento, causando falhas no sistema devido a defeitos. Ele salientou que os ataques à cadeia de fornecimento representam uma ameaça fundamental do software moderno e recomendou reduzir as dependências e implementar funcionalidades directamente utilizando LLM.

SmartContractAuditor

2026-03-25 00:18:24

Geração de resumo em curso

Odaily Planet Daily informa que Andrej Karpathy publicou na plataforma X que o litellm sofreu um ataque à cadeia de suprimentos do PyPI, e que basta executar pip install litellm para roubar chaves SSH, credenciais AWS/GCP/Azure, configurações do Kubernetes, credenciais do git, variáveis de ambiente, carteiras criptográficas, chaves privadas SSL, chaves de CI/CD e senhas de banco de dados. O litellm tem cerca de 97 milhões de downloads mensais, e o risco pode se espalhar para todos os projetos que dependem dele, como o dspy. A versão com código malicioso foi lançada em menos de uma hora, e foi descoberta após o código de ataque apresentar falhas que causaram o esgotamento da memória da máquina de Callum McMahon, levando-a a travar. Andrej Karpathy afirma que ataques à cadeia de suprimentos são o problema mais ameaçador na software moderna, pois toda instalação de dependências pode introduzir pacotes comprometidos na profundidade da árvore de dependências, levando-o a reduzir cada vez mais as dependências e a usar LLMs para implementar funcionalidades simples diretamente.

Ver original

Esta página pode conter conteúdos de terceiros, que são fornecidos apenas para fins informativos (sem representações/garantias) e não devem ser considerados como uma aprovação dos seus pontos de vista pela Gate, nem como aconselhamento financeiro ou profissional. Consulte a Declaração de exoneração de responsabilidade para obter mais informações.