Malware PoeLLM infecta 3 mil servidores al explorar fallas en IA open source como LiteLLM y Ollama

Investigadores de seguridad identificaron el malware PoeLLM, que ya infectó más de 3 mil servidores al explorar versiones vulnerables y expuestas en internet de herramientas de IA open source, como LiteLLM y Ollama. Según el informe de The Register, el ataque también alcanzó instalaciones de Gotenberg y Gitea y puede haber alcanzado el software comercial Ivanti Sentry. Es más un capítulo de un problema que se repite en los últimos meses: la infraestructura que sustenta aplicaciones de IA se ha convertido en blanco preferencial.

¿Qué explora el malware PoeLLM en la práctica?

El vector no es un cero-day sofisticado en un modelo de lenguaje. PoeLLM se aprovecha de instalaciones de software populares que han quedado obsoletas o expuestas directamente en Internet, sin autenticación o firewall en el frente. LiteLLM, un proxy que rotea llamadas entre diferentes modelos, y Ollama, usado para girar LLMs localmente, son herramientas de uso masivo justamente porque son fáciles de subir, y es esa facilidad que vuelve brecha cuando nadie revisa la configuración después del deploy. El nombre del malware es un intercambio con poesía, explorado por la propia cobertura de The Register.

¿Qué herramientas de IA open source fueron alcanzadas por PoeLLM?

Además de LiteLLM y Ollama, los investigadores apuntan instalaciones de Gotenberg, dirigidos a la conversión de documentos, y de Gitea, usado para alojar repositorios Git. También existe la posibilidad de que Ivanti Sentry, un producto comercial de puerta de puerta, se haya alcanzado. La mezcla muestra que el problema no es "seguridad de IA" en el sentido estricto: es la seguridad de todo el encanamiento alrededor de ella. Quien compromete un servidor de conversión de documentos o un repositorio interno gana acceso a datos y credenciales que alimentan los pipelines de IA, y no sólo al modelo.

¿Cómo se conecta PoeLLM a los ataques a la cadena de suministros de IA?

PoeLLM no es un punto aislado. El portal ya cubrió el ataque Mini Shai-Hulud, que comprometió cientos de paquetes open source, la explotación de una vulnerabilidad crítica en LiteLLM poco después de la divulgación pública y agentes de IA maliciosos plantados en repositorios. La diferencia de método es lo que hace relevante PoeLLM: en lugar de envenenar el código que los desarrolladores bajan, ataca la instancia que ya está rodando. Esto significa que corregir el paquete no resuelve solo: el ajuste debe suceder en la configuración y en el monitoreo del servidor.

¿Qué cambia a equipos brasileños que ruedan IA open source propia?

Buena parte de los equipos brasileños que usan LiteLLM o Ollama lo hace en VPS y máquinas en la nube, muchas veces en un ambiente de prueba que acabó "virando producción". Tres comprobaciones son inmediatas: conferir la versión instalada contra las advertencias de los mantenedores, restringir el acceso por red (nada de puerta abierta a Internet entera) y exigir autenticación antes de cualquier variable de inferencia. Vale recordar que, si uno de estos servidores vazar prompts, logs o documentos de clientes, LGPD prevé comunicación de incidentes que puedan ocasionar un riesgo relevante a los titulares, lo que convierte un descuido de configuración en obligación legal.

Lo que todavía no se sabe sobre el malware PoeLLM

El número de 3 mil servidores es el total reportado hasta ahora, pero los investigadores no detallaron la distribución geográfica de las víctimas, cuales versiones específicas fueron exploradas ni se hubo exfiltración de datos. La participación de Ivanti Sentry aparece como posibilidad, no como confirmación. Hasta que esos puntos sean esclarecidos, la recomendación práctica es tratar cualquier instancia expuesta de LiteLLM, Ollama, Gotenberg o Gitea como potencialmente comprometida y revisar logs de acceso antes de asumir que está todo bien.

Preguntas frecuentes sobre el malware PoeLLM

¿Qué es el malware PoeLLM?

Es un malware que infecta servidores explorando versiones vulnerables y expuestas de herramientas open source, entre ellas LiteLLM y Ollama, según The Register. Más de 3 000 máquinas ya se habrían alcanzado.

Si rodo ¿Ollama o LiteLLM localmente, estoy en riesgo?

Sólo si la instancia está accesible por Internet o desactualizada. Los entornos aislados en red interna y con versión corregida tienen una exposición mucho menor: el camino es restringir puertas, exigir autenticación y actualizar.

¿Usar solo APIs comerciales de IA elimina el problema?

No. El ataque muestra que el riesgo está en el encanamiento alrededor de la IA — proxies, servidores de documentos y repositorios—, que muchas veces sigue siendo self-hosted incluso cuando el modelo viene de un proveedor externo.