Tres plataformas de IA filtran credenciales en ataques encadenados

Fireworks AI, OpenCode y Railway reportaron intrusiones en dos semanas que expusieron llaves de OpenAI, Anthropic y Google, y un paquete malicioso de LiteLLM robó credenciales el mismo día que Railway hizo pública la suya. La atribución a una sola campaña coordinada sigue sin confirmación independiente.

Qué pasó

Cuatro episodios, dos semanas, el mismo tipo de objetivo

Entre el 9 y el 21 de octubre de 2026, al menos tres proveedores de infraestructura para aplicaciones de IA divulgaron intrusiones separadas. En cada una, el atacante llegó a credenciales de proveedores de inferencia que los clientes habían dejado almacenadas en la plataforma, no en su propio entorno:

• Fireworks AI (detección 6 de octubre, boletín el 9): uso no autorizado de credenciales internas para leer variables de entorno de trabajos de evaluación de un número limitado de clientes, incluyendo llaves de terceros guardadas como secretos. Fireworks declara no haber encontrado evidencia de acceso a modelos, datasets o tráfico de inferencia — es una afirmación de la propia empresa, sin verificación independiente visible.
• OpenCode (intrusión el 16, divulgación el 17): acceso a un sistema Console heredado, en proceso de descontinuación, que guardaba llaves de OpenAI, Anthropic y Google de cerca del 1,4% de los usuarios de la consola. Hubo cargos no autorizados reportados por usuarios, algunos superiores a USD 1.000. OpenCode calificó el episodio como «ataque de destilación a gran escala» sin explicar el término, lo que TechCrunch señaló explícitamente como ambiguo.
• Railway (21 de octubre): variables de entorno de clientes posiblemente leídas, algunas presuntamente en texto plano pese a estar cifradas en reposo. Railway enmarca el episodio como parte de «una serie de ataques... dirigida a comprometer proveedores de inferencia de IA» — una frase que, por ahora, es la lectura de un solo involucrado.

El mismo 21 de octubre, The Register reportó que la versión 1.107.0 del gateway open source LiteLLM, publicada en PyPI y en Docker Hub bajo las etiquetas latest, main-latest y main-stable, incorporaba un cargador, un módulo infostealer y un troyano de acceso remoto que consulta infraestructura del atacante cada hora. El objetivo del robo incluía credenciales de AWS, Google Cloud y Azure, además de llaves de OpenAI, Anthropic y Cohere. La coincidencia de fecha con el anuncio de Railway no implica vínculo: ningún reporte público conecta ambos episodios con el mismo operador.

No es un fenómeno de octubre

Estos cuatro episodios no aparecen aislados. Microsoft documentó en agosto de 2026 intrusiones contra despliegues expuestos de LiteLLM, RAGFlow y Kestra, con cosecha de variables de entorno tras lograr ejecución de código, incluyendo un gancho instalado en RAGFlow para interceptar llaves cada vez que un administrador configuraba una integración de LLM. Anthropic, en su reporte de inteligencia de amenazas de septiembre de 2026, describió un caso en que un atacante inyectó instrucciones en el sandbox de evaluación automatizada de un proveedor de IA y obtuvo las llaves de producción que ese sandbox custodiaba, con una campaña posterior del mismo actor contra cerca de treinta empresas de IA en aproximadamente cuatro días.

Evaluación — confianza alta: que la capa de plataformas intermediarias (hosting, gateways, consolas de agentes, entornos de evaluación) es hoy un objetivo deliberado para obtener credenciales de IA. Esto se apoya en fuentes primarias independientes y espaciadas en el tiempo —Microsoft, Anthropic, y las propias divulgaciones de los tres vendors afectados— que describen el mismo patrón sin depender unas de otras.

Evaluación — confianza media, no alta: que los cuatro episodios de octubre son una única campaña coordinada por un mismo actor. La explicación alternativa que no se puede descartar es que se trate de operadores distintos explotando, de forma independiente, la misma debilidad estructural (concentración de secretos de muchos clientes en un solo custodio), que es más fácil de monetizar ahora que hace un año. La única fuente que afirma campaña es Railway, y lo hace sin publicar indicadores compartidos con los otros dos vendors.

Por qué importa acá

No hay, hasta donde pudimos verificar, una organización chilena entre las víctimas reportadas de estos cuatro episodios. El ámbito de esta pieza es global y la razón para publicarla es estructural: estas plataformas —Railway como PaaS, LiteLLM como gateway self-hosted, OpenCode como consola de agente de código, Fireworks AI como plataforma de inferencia y fine-tuning— están en uso activo entre equipos de desarrollo en Chile y LATAM que integran funciones de IA en sus productos, muchas veces sin que el área de seguridad lo sepa.

No sabemos cuántas organizaciones chilenas usan estas plataformas específicas ni si alguna fue alcanzada. Lo que sí es constatable es el mecanismo: el punto débil no está en el código propio de quien construye sobre IA, sino en el proveedor que custodia la llave en su nombre. Eso cambia dónde hay que mirar: una auditoría interna de seguridad que revise solo el código de la aplicación no detecta este riesgo, porque el secreto nunca estuvo comprometido en el repositorio ni en el servidor propio.

Sobre obligaciones regulatorias: la Ley 21.663 y el deber de reporte a ANCI aplican a instituciones calificadas como Operador de Importancia Vital u organismos del Estado, no a un proveedor SaaS extranjero como Railway o Fireworks AI. Si una entidad chilena sujeta a esa ley usa alguna de estas plataformas y la exposición de credenciales compromete un servicio esencial, correspondería evaluar el deber de reporte respecto del impacto propio, no del incidente del proveedor. Sobre la Ley 21.719: si las llaves robadas daban acceso a sistemas que procesan datos personales —por ejemplo, un asistente de IA conectado a una base de clientes o de salud—, el uso indebido de esas credenciales para extraer o modificar datos sí podría constituir una vulneración de seguridad de datos personales que active deberes de notificación bajo esa ley una vez plenamente vigente, y es prudente evaluarlo ahora como buena práctica.

Evaluación — confianza baja: que haya organizaciones chilenas afectadas por estos cuatro episodios específicos. No hay señal que lo sustente; se menciona para que el lector entienda que la ausencia de evidencia no equivale a ausencia de exposición, dado que ninguno de los vendors publicó listas de clientes afectados por país.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1528 — Es el mecanismo central de los tres episodios de plataforma: el atacante no vulnera al proveedor de IA directamente, sino que extrae las llaves que un custodio intermedio (PaaS, consola, entorno de evaluación) guarda en nombre de sus clientes.
• T1195.002 — Aplica al paquete LiteLLM 1.107.0: el compromiso ocurrió en el pipeline de release del proyecto (GitHub/PyPI/Docker), no en la infraestructura de cada víctima individual.
• T1078.004 — El reporte de Anthropic documenta uso de una llave robada durante semanas para operaciones secundarias: el tráfico abusivo queda atribuido al cliente legítimo, lo que retrasa la detección por parte del proveedor de IA.
• AML.T0051 — El caso descrito por Anthropic en que un atacante inyectó instrucciones en el sandbox de evaluación automatizada de un proveedor de IA para que este entregara sus llaves de producción. No forma parte confirmada del cluster de octubre, pero es el mismo vector de custodio-como-objetivo aplicado a un sistema agéntico.

/tmp/.pc_once_*
/tmp/remote_code_loader.lock
litellm==1.107.0 (PyPI / tags latest, main-latest, main-stable en Docker Hub)

title: Uso anómalo de API key de proveedor de IA posterior a exposición en plataforma custodia
id: 2b6e4d91-8a3c-4f17-b5e2-9d4a7c1f6e08
status: experimental
description: |
  Deteccion conductual, no basada en firma. No existen IOCs de red ni hashes publicos para el robo de credenciales en Fireworks AI, OpenCode o Railway; esta regla busca el efecto posterior -uso anomalo de una llave de proveedor de IA- en logs de uso/facturacion exportados al SIEM. Debe ajustarse a la linea base de consumo normal de cada organizacion antes de ponerse en modo de alerta activa.
references:
    - https://labs.cloudsecurityalliance.org/research/csa-research-note-inference-provider-platform-chain-campaign/
author: Vantis
date: 2026-10-23
logsource:
    category: application
    product: ai_provider_usage_logs
detection:
    selection_volumen:
        EventType: 'api_request'
    timeframe: 1h
    condition: selection_volumen | count() by api_key_id > valor_linea_base_x3
falsepositives:
    - Picos legitimos de uso por despliegues nuevos, pruebas de carga o campanias de producto.
    - Cambios de region por uso de CDN o balanceo geografico legitimo del cliente.
level: medium

title: Indicadores de archivo de LiteLLM 1.107.0 troyanizado
id: 7f3a9c2e-4b61-4f8d-9a2e-6c1d8f0b3e55
status: experimental
description: |
  Detecta artefactos de archivo reportados para la version maliciosa 1.107.0 de LiteLLM (infostealer + RAT via sitecustomize.py). Es deteccion conductual de efecto en disco, no de firma de red; no hay IP ni dominio de C2 publicados al momento de esta nota.
references:
    - https://www.theregister.com/2026/10/21/litellm_supply_chain_attack/
author: Vantis
date: 2026-10-23
logsource:
    category: file_event
    product: linux
detection:
    selection:
        TargetFilename|contains:
            - '/tmp/.pc_once_'
            - '/tmp/remote_code_loader.lock'
    condition: selection
falsepositives:
    - Baja probabilidad; los nombres son distintivos y no corresponden a convenciones de archivos temporales habituales del sistema.
level: high

DeviceFileEvents
| where FolderPath startswith "/tmp/"
| where FileName startswith ".pc_once_" or FileName =~ "remote_code_loader.lock"
| project Timestamp, DeviceName, FileName, FolderPath, InitiatingProcessFileName, InitiatingProcessCommandLine, InitiatingProcessAccountName

<rule id="100510" level="12">
  <if_sid>550</if_sid>
  <field name="file" type="pcre2">/tmp/(\.pc_once_.*|remote_code_loader\.lock)</field>
  <description>Posible artefacto del paquete malicioso LiteLLM 1.107.0 detectado por FIM</description>
  <mitre>
    <id>T1195.002</id>
  </mitre>
  <group>supply_chain,litellm,</group>
</rule>

Fuentes

• Cloud Security Alliance (CSA Labs)Inference Providers as the Prize: Platform-Chain Campaigns Against AI Serving · 2026-10-23
• Fireworks AIFireworks October 2026 Security Incident · 2026-10-09
• TechCrunchHackers hit AI coding tool OpenCode, running up charges on users' AI accounts · 2026-10-19
• BleepingComputerOpenCode hack exposes API keys amid AI distillation attacks · 2026-10-19
• RailwaySecurity Disclosure: Wednesday, October 21st · 2026-10-21
• The Hacker NewsRailway Says Intruder May Have Accessed Customer Secrets, Urges Credential Rotation · 2026-10-22
• AnthropicCountering Misuse of AI: September 2026 · 2026-09-30
• Microsoft Threat IntelligenceWhen AI Infrastructure Becomes the Target: Securing Gateways and Control Points · 2026-08-26
• The RegisterLiteLLM supply chain attack hoovers up passwords and secrets · 2026-10-21
• Cloud Security Alliance (CSA Labs)OpenCode Console Breach: Concentrated Provider Keys at Risk · 2026-10-20

Relacionado