LiteLLM 遭供应链投毒:PyPI 包带窃密恶意软件,今年第二次被劫持
mark_k · x · 2026-10-23
LiteLLM 1.107.0 昨日在 PyPI 和 Docker 上被投毒约两小时。恶意软件在每次 Python 启动时运行(即使从不 import litellm),窃取云密钥、SSH 密钥以及 Cursor 和 Claude 的本地配置。攻击者利用被盗的 GitHub token(其中一个为组织所有者)关闭分支保护并发布了该版本。这是 LiteLLM 今年第二次被劫持。若在周三下午安装过该包,应立即轮换所有凭据。
所属事件:LiteLLM 1.107.0 遭供应链投毒，窃密后门潜伏 PyPI 与 Docker(17 条相关)→
「编程与Agent」频道最新
- 开源 ZaRemba AI Watcher：本地实时揪出失控 agent 与暴露密钥 — Tasty-Molasses-9587 · 2026-10-23
- 防止 vibe coding 项目烂掉：先锁 UX、重数据模型、先写 API 规格 — austin_malerba · 2026-10-23
- 自建博客系统跑 24 年：数据与简单性才是长寿关键 — genmon · 2026-10-23
- Agent Field Kit 推出 20 套 AI 智能体安全加固模板，单套 29 美元起 — alvelda · 2026-10-23
- Snap 长时程智能体实测：自主操作工具打通《任天堂明星大乱斗》 — ryanallred · 2026-10-23
- Ethan Mollick 分享用 Codex 审计电脑安全实用提示词 — emollick · 2026-10-23