LiteLLM 新版被植入窃密恶意软件，月下载 9200 万的包中招

KyeGomezB · x · 2026-10-22

据 Socket 安全团队报告，用于连接各家 AI 模型提供商的 Python 包 LiteLLM（月下载量超 9200 万）遭到供应链攻击：其 1.107.0 版本通过 PyPI wheel 和 Docker 镜像分发窃取凭证的恶意软件，目标是云凭证、开发者密钥及 AI 工具的 secrets。

发帖人 Kye Gomez（Swarms 团队）借此推广其替代方案 RouteHub，宣称基于官方 OpenAI SDK、支持 20+ 提供商，导入速度 5.5ms（快 190 倍）、单次调用开销 0.004ms 对比 LiteLLM 的 0.74ms——推广成分需注意，但 LiteLLM 被投毒一事本身已获 Socket 确认，使用该包的团队应立即检查版本并轮换凭证。