litellm 1.107.0 被投毒 103 分钟，dspy 等八个库被动拉入后门
Future_AGI · reddit · 2026-10-22
作者复盘 10 月 21 日 litellm 1.107.0 供应链投毒事件：11:39–13:23 UTC 之间，在干净 Python 3.10+ 环境执行 pip install dspy 就会解析到被投毒版本，用户从未主动安装 litellm。原因是 dspy 3.4.1 把 litellm>=1.65.8 列为无上限的普通依赖。
受影响范围
- 八个库把 litellm 列为必需依赖且版本范围允许 1.107.0，另有六个通过 crewai[litellm] 之类 extra 间接引入
- aider、openhands 锁定精确版本；opik 上限低于 1.106；browser-use 不依赖 litellm
- mini-swe-agent 的范围排除了 3 月事件中的 1.82.7/1.82.8，但 1.107.0 仍能匹配
- Docker Hub 上 LiteLLM proxy 的 latest/main-latest/main-stable 标签在 11:46–14:20 UTC 指向恶意构建，Watchtower 自动更新也会中招
载荷行为：wheel 向 site-packages 投放 cook.pth、cook.py、sitecustomize.py，每次解释器启动即执行，包括 pip。Aikido 分析称其窃取 SSH 密钥、云凭证、环境变量，以及 Claude Code、Cursor、Copilot、Gemini CLI 的 token。
自查：不要用 pip show/uv tree（会启动该环境 Python 触发载荷），改用 find 查 cook.pth、grep 锁文件、ls site-packages。LiteLLM 官方报告建议：凡 1.107.0 联网运行过的主机，一律视为数据已泄露，重建环境并轮换所有可达凭证。
防护：两次投毒在 PyPI 上都只存活约三小时，可设一周冷却期——uv 用 exclude-newer = "7 days"，pip 用 --uploaded-prior-to P7D。
所属事件:LiteLLM 1.107.0 遭供应链投毒，dspy 等八个库被动中招(16 条相关)→
「编程与Agent」频道最新
- 实测：一句话指令让 Agent 20 次中 18 次用对 MCP 工具 — colinmcnamara · 2026-10-23
- 实测:MCP 工具描述一行顶十行,任务采用率 18/20 vs 3/10 — colinmcnamara · 2026-10-23
- 开源 DynaLM：不依赖 GPU 的 CPU 优先 LLM 推理引擎 — Unlikely_Safety_7456 · 2026-10-23
- Warp 把软件工厂配置化：agent、路由、基准全用 Markdown/YAML 管理 — vikvang1 · 2026-10-23
- 开发者用 Codex 远程 root 三星电视，移除争议 eMudhra 根证书 — charliermarsh · 2026-10-23
- Raindrop 推出 Change Reports:PR 合并后自动追踪 Agent 生产表现 — HamelHusain · 2026-10-23