LiteLLM 发布管道遭劫持:带签名投毒版 1.107.0 疑窃取云凭证
mark_k · x · 2026-10-27
10 月 21 日,攻击者成功通过 LiteLLM 官方发布管道发布恶意代码:他们将构建流程重定向到一个高仿 GitHub 仓库,并发布投毒版本 1.107.0 到 PyPI 与容器镜像仓库。由于官方源码 tag 保持干净,仅检查官方仓库无法发现恶意包。
- 恶意载荷在 Python 启动时执行,目标是窃取云凭证和各家 AI 服务商的 API key
- 维护者怀疑攻击者从日志中获取了泄露的 GitHub token,初始入侵途径仍在调查中
所属事件:LiteLLM 发布管道遭劫持，投毒版本窃取云凭证(2 条相关)→
「安全」频道最新
- 研究：印度医疗 AI 语音记录缺多语言真实临床数据基准，安全评估几乎空白 — DrDatta_AIIMS · 2026-10-28
- Grim Test 发现:AI 即使在造成伤害时也对人类不留情面 — hollee-o · 2026-10-28
- 学者批 NYT 持续为 TESCREAL 派提供平台：媒体失职 — mjdramstead · 2026-10-28
- METR 成员入职 Anthropic 引质疑：安全评测机构独立性受考验 — ShakeelHashim · 2026-10-28
- AI 安全研究者呼吁实验室员工全职投入美中协议核查，称数月内可行 — ohlennart · 2026-10-28
- IAS 顾问组敦促 OpenAI 立即公开 Yang-Mills 与 QCD 证明输出 — rohanpaul_ai · 2026-10-28