Vulnerabilidade · alta
LLM 0.37.2 corrige falha que enviava chave da OpenAI a outro provedor
Tier C · Fique de olho – Veja se você é afetado
Quem está exposto: Usuários que cadastram endpoints compatíveis com a OpenAI
Tier C porque: Atinge times de tecnologia
Alcance
Ataque
Dano
Correção
O que fazer
- Atualizar o LLM para a versão 0.37.2
Em resumo
- O LLM 0.37.2, publicado por Simon Willison em 11 de novembro de 2026, fecha dois caminhos pelos quais a chave da OpenAI podia ser enviada a um provedor compatível cadastrado no extra-openai-models.yaml.
- Quem usa endpoints de terceiros deve atualizar a versão agora.
Por que importa
Quem configura provedores compatíveis com a OpenAI no LLM podia ter a chave da API enviada a outro serviço sem perceber, com risco de uso indevido e cobrança não autorizada. Atualizar para a 0.37.2 fecha esse caminho.
O checklist por trás do tier
Checklist · 1 de 10 com sim
| Sim | Atinge times de tecnologia | Ferramenta de linha de comando e biblioteca para desenvolvedores que usam modelos de linguagem. |
| Não | Infraestrutura central | Ferramenta específica de um projeto, não software de infraestrutura que quase todo time opera. |
| Não | Ferramenta popular | Ferramenta de nicho para uso com LLMs, sem a adoção ampla de frameworks como Rails ou WordPress. |
| Não | Explorada | Hora de Codar relata apenas a falha corrigida, sem mencionar ataques observados. |
| Não | Exploit público | Hora de Codar não menciona código de exploit ou prova de conceito publicada. |
| Não | Remota, sem login | Hora de Codar não diz que a falha pode ser explorada pela rede sem credenciais. |
| Não | Controle total | Hora de Codar descreve envio da chave a outro provedor, sem execução de código ou tomada de contas. |
| Não | Segredos expostos | Hora de Codar diz que a chave podia ser enviada, sem relatar que foi roubada ou exposta. |
| Não | Cadeia de suprimentos | Hora de Codar não relata pacote comprometido nem código malicioso distribuído por canal confiável. |
| Não | Ainda sem correção | Hora de Codar informa que a versão 0.37.2 fecha os dois caminhos da falha. |
Linha do tempo
LLM 0.37.2 publicado com correção para o envio da chave da OpenAI a outro provedor
Hora de Codar
LLM 0.37.2: falha podia enviar sua chave da OpenAI a outro provedor
Fonte
LLM 0.37.2: falha podia enviar sua chave da OpenAI a outro provedor ↗ Hora de Codar · há 2 h
Visto pela primeira vez · 1 fonte · Página completa da notícia · Como os tiers são decididos