LiteLLM rompe con la controvertida startup Delve tras un ataque de malware

LiteLLM, una de las herramientas más solicitadas para enrutar solicitudes a modelos de lenguaje, anunció el fin de la cooperación con la startup Delve — en medio de un grave incidente de seguridad y presión de la comunidad. LiteLLM utilizó Delve para obtener dos certificados de cumplimiento de seguridad. Estos certificados son importantes para clientes corporativos: indican la madurez de los procesos y el cumplimiento de estándares como SOC 2 o ISO.

Sin embargo, la semana pasada, LiteLLM fue víctima de un ataque de malware que robaba credenciales — uno de los tipos de amenazas más peligrosos, ya que proporciona a los atacantes acceso directo a sistemas y secretos. Delve — una startup especializada en auditorías de seguridad aceleradas — ha sido durante mucho tiempo fuente de controversia en la comunidad tecnológica. Los críticos señalan prácticas de marketing agresivas y rigor cuestionable en las certificaciones que emite.

El incidente de LiteLLM intensificó estas preocupaciones: una empresa que supuestamente debería ayudar a los clientes a parecer seguros terminó siendo asociada con un socio en el momento de un grave compromiso. LiteLLM se utiliza ampliamente en la industria como una capa proxy entre aplicaciones y docenas de modelos de lenguaje — desde OpenAI y Anthropic hasta soluciones de código abierto. A través de él fluyen solicitudes de clientes corporativos, startups y desarrolladores de todo el mundo, lo que hace que cualquier vulnerabilidad en su infraestructura sea un problema potencialmente a gran escala.

El equipo de LiteLLM no ha divulgado detalles sobre la escala de la filtración de datos ni si los usuarios finales fueron afectados. Sin embargo, la decisión de romper públicamente los vínculos con Delve sugiere que la gestión considera esta opción de asociación como un riesgo reputacional y operativo. Esta historia demuestra claramente lo vulnerable que es la cadena de suministro en la infraestructura de IA.

Las herramientas intermediarias, como los gateways de IA, se convierten en nodos críticos — y cualquier debilidad en su ecosistema de socios se convierte inmediatamente en un riesgo para todos quienes dependen de ellos.