专题 · FULL STORY

LiteLLM 投毒事件：从遭袭到防御响应

月下载超 9200 万的 Python 包 LiteLLM 在 1.107.0 版本遭供应链投毒，窃取凭证的恶意代码波及 dspy 等八个库。事件披露后，社区发布免费 Agent 网络防御工具包，从攻击曝光走向防御跟进。

2026-10-21 ~ 2026-10-23 · 2 集 · 19 条

第 1 集 · LiteLLM 1.107.0 遭供应链投毒，dspy 等八个库被动中招(2026-10-21,16 条)

LiteLLM——一个用于连接各家 AI 模型提供商、月下载量超 9200 万的 Python 包——再次遭遇供应链攻击，1.107.0 版本被植入窃取凭证的恶意软件与 RCE 后门。LiteLLM 官方确认发布管道于 10 月 21 日被攻破，攻击者持有多名工程师的令牌将恶意版本推送到 PyPI、Docker Hub 和 GHCR。投毒版本在线约 103 分钟，期间安装 dspy 等八个依赖库也会被动拉入后门。攻击由 Socket、JFrog、Aikido 等多个安全团队独立确认，PyPI 已下架该版本，涉事 Docker 镜像也已撤下，各方建议将版本固定在 1.106.2 并完整排查环境、轮换凭据。这是 2026 年 LiteLLM 第二次被劫持。

已确认

  • Socket 安全团队报告，PyPI 上的 litellm==1.107.0 通过 PyPI wheel 和 Docker 镜像分发窃取凭证的恶意软件，目标包括云凭证等敏感信息；JFrog 安全研究团队也在该版本的 PyPI 发布中发现恶意代码，建议避开该版本并排查曾安装或执行过它的环境。
  • 据 petrusenkomax 转述的技术细节，PyPI 上 1.107.0 发布的全部七个 wheel 包（覆盖 macOS、Linux、musl、Windows 平台）均被植入 cook.pth，任何 Python 进程启动时（即使没有 import litellm）都会自动执行，加载一个凭证窃取器和一个 RCE 后门。cedricchee 也转述了同样的持久化机制，并指出窃取器目标包括 SSH 密钥等敏感凭据。
  • arpitbhayani 拆解了攻击链：攻击者只在构建配置里加了一行 data = "cook"，让打包时额外带进恶意文件，源码本身未改动即可实现窃密。
  • IgorCarron 转述 LiteLLM 官方确认：发布管道于 10 月 21 日被攻破，攻击者持有三名工程师的令牌，恶意版本被推送到 PyPI、Docker Hub 和 GHCR，包内含每次 Python 启动时运行的凭据窃取器及远程代码加载后门。
  • Aikido 披露，被投毒的 Docker 镜像包括 latest、main-latest、main-stable 等标签，代理内所有厂商的 API key 均可能被窃取；官方建议将版本固定在 1.106.2。据 AIFlowML 转述，PyPI 已下架该版本、Docker 镜像已撤下，根因是发布构建源自仿冒仓库。
  • FutureAGI 复盘指出，投毒窗口为 10 月 21 日 11:39–13:23 UTC 的 103 分钟：期间在干净 Python 3.10+ 环境执行 pip install dspy 就会解析到被投毒版本，共八个库被动拉入后门，用户即使从未主动安装 litellm 也可能中招。
  • Philipp Schmid（philschmid）整理了 2026 年 10 月 21-22 日密集安全披露的排查清单，核心即 LiteLLM 1.107.0 投毒：恶意 cook.pth / litellminit.pth 文件会在 Python 启动时自动执行，需要按清单检查主机并轮换凭据。
  • bibryam 补充这是 2026 年 LiteLLM 第二次被劫持。
  • 开发者 S1r1u5 另行警告存在拼写错误的仿冒包名 llitellm==1.107.0，安装过该包的环境很可能已被入侵。

为什么重要

  • LiteLLM 是 AI 应用生态中广泛使用的 LLM 网关库，月下载量超 9200 万，一旦被投毒影响面极大；且恶意代码通过 cook.pth 在每次 Python 启动时运行、不依赖 import，仅未使用该库并不足以避险——如 dspy 等八个库的依赖链也会被动带入——需完整排查主机环境，包括代理配置中的各厂商 API key。攻击者在构建配置中仅加一行即可投毒、源码不变，凸显对构建与发布链路完整性验证的必要性；攻击者能获取多名工程师令牌突破发布管道，也暴露出令牌管理与发布授权的风险。
  • cedricchee 将此事与同期 OpenCode 被入侵、某证书颁发机构（CA）被攻破以及一个利用难度不高的 PHP 关键漏洞并列，认为 AI 及更广泛关键基础设施的安全形势正在恶化，值得开发者高度警惕。

第 2 集 · LiteLLM 供应链投毒事件后，免费 Agent 网络防御工具包发布(2026-10-23,3 条)

2026 年 10 月 21 日，LiteLLM 供应链投毒与 Railway 凭据泄露两起针对 AI 应用凭据的攻击同日披露。alvelda 随后发布 Agent Field Kit 项目及包含 6 个防御套件的「Agent Cyber Defense Bundle」，提供完整攻击时间线解读、应急工具包和免费 Agent 网络防御仪表盘（含演练），主张应对 LLM 增强型攻击者需采用「智能体化运营」的防御方式。