LiteLLM 遭供應鏈攻擊，惡意版上架 PyPI
LiteLLM 10/21 通報其發布流程遭入侵，惡意的 1.107.0 版經 PyPI 與 Docker 發布，PyPI 版本約兩小時後下架；10/23 的事後分析稱攻擊者早在 10/10 就以外洩的主金鑰取得維護者權杖。建議退回 1.106.2 並輪換憑證。
開源 AI 閘道 LiteLLM 在 10/21 通報，攻擊者劫持其發布流程，把含有竊取憑證惡意程式的 1.107.0 版推上 PyPI 與 Docker 登錄庫。10/23 的事後分析指出，攻擊早在 10/10 就已展開，起點是一把 5/27 被提交到公開倉庫的主金鑰。
依官方公告，PyPI 的 litellm 1.107.0（7 個 wheel）在 10/21 11:39 UTC 上架、約 13:23 UTC 被移除；Docker Hub 與 GHCR 的相關標籤分別到 14:20 與 13:51 UTC 前下架或重指。成品是從攻擊者控制的仿冒倉庫 Berri-AI/litellm 建置，GitHub 上官方 v1.107.0 標籤本身不含惡意檔案。企業客戶的私有登錄庫不受影響。
Socket 的分析稱，惡意程式在 Python 啟動時執行，即使應用程式沒有匯入 LiteLLM；它收集雲端憑證與開發者機密，加密後外傳，並每小時從遠端下載程式碼執行。官方事後分析說，社群成員在上架約 20 分鐘後提出問題回報；一開始推測權杖來自內部部署的日誌，後經修正為來自另一項服務的 API。
官方建議開源用戶固定在 1.106.2 或事件前的明確版本，檢查是否安裝過 1.107.0；若在能連外網的主機執行過，應假設資料已外流，並輪換主機可觸及的所有憑證。官方事後分析說，當週放寬的發布門檻讓任兩位工程師即可觸發並核准發布。
跟你的關係
如果你的專案用 LiteLLM，請確認 10/21 當天是否安裝過 1.107.0，並固定版本與映像摘要。這起事件顯示，連 AI 閘道這類管理多家模型金鑰的工具，一旦發布流程被入侵，影響會擴及所有被它保管的金鑰。
重點
- 1.107.0 在 PyPI 約 11:39 至 13:23 UTC 上架（10/21）
- 成品出自仿冒倉庫 Berri-AI/litellm，官方 GitHub 標籤不含惡意檔案
- 起點是 5/27 提交到公開倉庫的主金鑰；10/10 起攻擊者取得權杖
- 惡意程式於 Python 啟動即執行，竊取憑證並遠端載入程式碼
- 建議固定 1.106.2、檢查並輪換憑證；企業私有登錄庫不受影響
來源
- LiteLLM：Security incident Oct 21, 2026・10/21 ↗
- LiteLLM：攻擊鏈事後分析・10/23 ↗
- Socket：LiteLLM compromise・10/21 ↗
本站內文為依上列來源整理的摘要，未另外增加事實；細節請以原文為準。