Due ore. La filiera AI è il nuovo perimetro.

LiteLLM è una libreria che fa da centralino tra il software di un’azienda e i modelli AI: OpenAI, Anthropic, Google e gli altri passano da lì, con le loro chiavi. È gratuita, secondo Datadog ha circa 23 milioni di download a settimana, e mercoledì 21 ottobre ne è uscita una versione avvelenata. Secondo l’analisi della stessa LiteLLM la 1.107.0 è stata su PyPI, il registro pubblico dei pacchetti Python, dalle 11:39 alle 13:23 UTC, e nelle immagini Docker ufficiali fino alle 14:20.

In quella finestra, secondo Wiz, è stata scaricata circa 49.000 volte. Download di questo tipo arrivano spesso da sistemi automatici che si aggiornano da soli: è il loro mestiere. La versione conteneva un programma che partiva a ogni avvio di Python e raccoglieva tutto quello che trovava: credenziali di AWS, Google Cloud e Azure, chiavi di OpenAI e Anthropic, chiavi SSH, e le sessioni di Claude, Codex, Cursor e Copilot.

Per LiteLLM è il secondo attacco di questo tipo nel 2026: il primo era a marzo. La causa, secondo l’azienda, sono credenziali GitHub di tre sviluppatori finite nelle mani sbagliate, una delle quali apparteneva a uno dei due proprietari dell’organizzazione. Il modo in cui sono uscite è ancora un’ipotesi.

Per vent’anni la sicurezza è stata una questione di muri: firewall, accessi remoti, password dei dipendenti. Gli attacchi di ottobre non hanno toccato nessun muro. Sono entrati con il software che le aziende installano ogni giorno, e hanno lavorato con le chiavi dell’azienda.

Lo stesso mese, StepSecurity ha ricostruito il caso di tensorlake, un pacchetto npm: il malware usava i token GitHub rubati per scrivere file di configurazione per Claude Code e VS Code nei repository raggiungibili. Ogni volta che uno sviluppatore apriva il progetto, il suo agente di coding rieseguiva il malware. E se qualcuno revocava il token rubato, il programma cancellava la cartella dell’utente.

Il 13 ottobre è diventata pubblica una falla nella pubblicazione dei pacchetti npm: oltre 1.500 pacchetti, con più di 10 milioni di download, potevano essere pubblicati da chiunque registrasse di nuovo il nome di un repository abbandonato. GitHub l’aveva chiusa il 2 ottobre. Chi l’ha trovata dice di non averla vista sfruttare.

La mappa ha un punto solo in cui decide una persona: il cancello, dove si stabilisce cosa entra, a quale versione e con quali permessi. Tutto quello che viene dopo lavora da solo, con le vostre chiavi. È lì che conviene guardare.

La reazione istintiva a un attacco del genere è «aggiorniamo tutto, subito». È esattamente il comportamento che LiteLLM 1.107.0 ha sfruttato: i sistemi che installano sempre l’ultima versione l’hanno presa per primi. La reazione opposta, non aggiornare mai, lascia aperte le falle che le correzioni chiudono.

La risposta è una regola, non un riflesso. Le versioni si bloccano e si cambiano quando lo decide qualcuno, dopo un controllo. Le correzioni di sicurezza hanno una corsia veloce, con un tempo massimo scritto. E le chiavi più preziose non stanno mai dove gira codice appena scaricato.

Non servono competenze tecniche per farle. Servono risposte con un nome e una data.

1. 01

   Usiamo LiteLLM o un altro gateway per i modelli AI? Quale versione, e chi l’ha installata?

   Se la risposta è «non lo so», è già una risposta: nessuno ha l’elenco di quello che gira.

2. 02

   Le versioni delle librerie sono bloccate, o si aggiornano da sole?

   Bloccate vuol dire che cambiano solo quando qualcuno lo decide e lo registra.

3. 03

   Dove stanno le chiavi dei servizi AI e del cloud, e chi può leggerle?

   Un archivio dedicato, accessi limitati, chiavi diverse per ambienti diversi. Mai nel codice, mai nei log.

4. 04

   Quali configurazioni degli agenti di coding sono nel repository, e chi le approva?

   File come .claude/settings.json o .vscode/tasks.json eseguono comandi. Vanno trattati come codice.

5. 05

   Se domani ci rubano una chiave, in quanto tempo la sostituiamo?

   A ottobre le prime credenziali rubate sono state usate circa quattro ore e mezza dopo il furto.

6. 06

   Chi ci avvisa quando un componente che usiamo viene compromesso?

   Serve una persona o un servizio che lo segua. Saperlo dai giornali il giorno dopo è tardi.

1. [1]LiteLLM: Contained, Oct 21, 2026 LiteLLM release v1.107.0 Compromised. docs.litellm.ai
2. [2]Wiz Research: LiteLLM compromised, steals credentials (21 ottobre 2026). www.wiz.io
3. [3]Datadog Security Labs: LiteLLM supply chain compromise (21 ottobre 2026). securitylabs.datadoghq.com
4. [4]StepSecurity: tensorlake npm compromised (8 ottobre 2026). www.stepsecurity.io
5. [5]Help Net Security: SlugFest, falla in npm Trusted Publishing (13 ottobre 2026). www.helpnetsecurity.com
6. [6]GitHub Changelog: unvalidated npm trusted publishing configurations now expire (2 ottobre 2026). github.blog