开源AI网关LiteLLM被投毒 凭据窃取两小时

广泛用于统一调用各家大模型接口的开源AI网关LiteLLM披露，其发布管道在10月21日凌晨被攻击者攻破，携带恶意软件的v1.107.0版本被推送至PyPI和Docker镜像源。安全团队确认，事件已得到控制，所有旧版本不受影响，企业私有源客户也未被波及。

按官方事后还原的时间线：PyPI上的恶意Python包从11时39分存活到13时23分（UTC），约1小时44分；Docker Hub和GHCR上的v1.107.0及latest等标签从11时46分存活到14时20分，约2.5小时。受影响的构建产物来自攻击者控制的仓库，GitHub上的官方源码标签本身并不含恶意文件。

多家安全公司（SafeDep、Socket、StepSecurity、Upwind）的逆向分析显示，恶意版本包含两个载荷：其一是名为cook的凭据窃取器，通过一个.pth文件实现Python进程一启动就自动执行，无须导入litellm；它收集SSH密钥、云平台凭据、CI/CD机密、AI工具令牌、Chromium与Firefox浏览器数据，还会从LiteLLM代理数据库中提取已保存的大模型密钥，打包后回传至攻击者控制的域名。

其二是后门：一个后台守护进程每小时从GitHub上的一个文本文件读取服务器地址，先再次运行窃取器，然后下载并执行攻击者投放的任意Python代码。相关GitHub账号在发布约两小时后被删除，后门随之失联，但在此之前已运行过守护进程的主机可能已被投递过第二阶段代码。

LiteLLM安全总监詹森表示，攻击者利用三名工程师GitHub账号的被窃CLI OAuth令牌完成了发布：一个账号触发发布流程，另一个负责审批。所有涉事令牌已被吊销，该组织临时清退了除一人以外的全部成员，并移除了指向GitHub组织的可信发布链接。令牌如何被窃仍在调查中。

官方建议：凡是安装或运行过受影响版本的环境应视同已被入侵，切勿直接pip install覆盖（会再次触发恶意钩子），应从干净环境轮换全部暴露凭据、删除cook.pth等植入文件、重建容器和虚拟环境，并将版本锁定在1.106.2。这起事件再次表明，集中保管大量模型API密钥的AI基础设施组件，正成为供应链攻击的高价值目标。

编译自 LiteLLM 官方安全公告，原标题："Contained: Oct 21, 2026 LiteLLM release v1.107.0 Compromised"