Una llave guardada en un cajón sigue abriendo la puerta aunque nadie se acuerde de que existe. Eso es lo que pasó con LiteLLM, una herramienta que sirve de puente entre aplicaciones y modelos de inteligencia artificial: una clave maestra quedó expuesta, nunca se cambió, y por ahí se armó un ataque a la cadena de suministro del software.

La palabra clave es "cadena". LiteLLM no es un producto que la gente use de frente: es una pieza que otros programas llevan adentro. Quien la compromete no necesita golpear una por una las puertas de cada empresa o desarrollador que la usa; le alcanza con entrar donde todos confían. Un solo eslabón flojo se hereda hacia abajo, y los que dependen de él se enteran tarde, si es que se enteran.

Lo notable es lo poco sofisticado del origen. No hizo falta una falla exótica ni una técnica brillante: bastó un secreto que se filtró y que nadie renovó. Rotar claves, es decir, cambiarlas a intervalos regulares y de inmediato ante la mínima sospecha de exposición, es una tarea tan gris que casi siempre queda para después. Pero es lo que acota el daño: una clave que se cambia vuelve inútil lo que alguien se llevó ayer.

Esto no le pasa solo a los equipos de ingeniería. En casa la misma lógica rige para la contraseña del correo que no tocamos hace años, la clave del wifi que compartimos con medio barrio, el acceso a la billetera virtual que dejamos abierto en un teléfono viejo. Cuanto más se apoya nuestra vida en servicios conectados entre sí, más peso tiene el eslabón que nadie revisa.

La seguridad rara vez se pierde por un golpe espectacular; se pierde por la acumulación de descuidos que parecían menores. Una credencial que no vence es una deuda que alguien, tarde o temprano, cobra.