- LiteLLM于10月21日向PyPI及其容器注册表发布了遭入侵的1.107.0版本。
- 攻击者调度了暂存工作流，将其源设置为仿冒的Berri-AI/litellm仓库的提交20535d8f。
- 流水线签名并发布了从分支提交构建的1.107.0版本。
LiteLLM表示，其发布流水线于10月21日向PyPI及容器注册表发布了遭入侵的litellm==1.107.0。
恶意软件包放置的文件会在Python解释器启动时执行。该恶意软件针对OpenAI、Anthropic、Cohere及其他LLM提供商的API密钥。
LiteLLM是由BerriAI开发的开源LLM网关，为不同模型提供商提供兼容OpenAI的API。该公司于10月23日发布了披露信息。
暴露的Agent Platform密钥导致仓库被控制
2026年5月27日，提交到公开LiteLLM-Labs/lite-harness仓库的配置文件无意中包含了LiteLLM Agent Platform部署的主密钥。
10月10日，攻击者使用该密钥访问Agent Platform并提取GitHub CLI OAuth令牌。该令牌提供了对所有LiteLLM GitHub仓库的所有者级访问权限。
随后，攻击者的工作流将6个仓库机密信息发布到攻击者控制的webhook.site端点。
攻击者更改构建流程并签名发布版本
攻击者禁用了分支保护，然后使用所有者令牌强制推送。
攻击者调度了暂存工作流，将其源设置为仿冒的Berri-AI/litellm仓库的提交20535d8f。流水线随后签名并发布了从分支提交构建的1.107.0版本。
软件包和Docker标签仅在有限时间内可用
LiteLLM表示，恶意PyPI软件包上线约2小时，从11:39UTC到13:23UTC。其遭入侵的Docker镜像从11:46UTC到14:20UTC可用。
Wiz表示，ClickPy数据显示，恶意版本约被下载49,000次。该公司观察到攻击者使用sts:GetCallerIdentity检查AWS凭据，随后枚举AI模型；Wiz称这一活动与LLMjacking一致。
LiteLLM建议受影响用户将安装版本固定为1.106.2或其他明确发布的更早版本，并从受影响的site-packages目录中删除恶意软件文件。
该公司还建议用户轮换主机可访问的所有项目，尤其是实例/任务IAM角色。
防守方现在要做什么
- 轮换上文列出的主机可访问的所有项目。尤其是：实例/任务IAM角色。
常见问题
LiteLLM 1.107.0发生了什么？
LiteLLM表示，其发布流水线于10月21日向PyPI及容器注册表发布了遭入侵的litellm==1.107.0。
哪些LiteLLM版本和镜像受到影响？
受影响的PyPI版本是litellm==1.107.0。遭入侵的Docker标签是v1.107.0、latest、main-latest和main-stable。
LiteLLM恶意软件做了什么？
它将cook.pth、cook.py和sitecustomize.py解压到site-packages根目录，这些文件被设计为在Python解释器启动时执行。恶意软件针对OpenAI、Anthropic、Cohere及其他LLM提供商的API密钥。
攻击者如何进入LiteLLM的发布流水线？
5月27日提交的配置文件无意中包含LiteLLM Agent Platform部署的主密钥。攻击者于10月10日使用该密钥提取GitHub CLI OAuth令牌，从而获得LiteLLM GitHub所有仓库的所有者级访问权限。
受影响的LiteLLM用户应如何应对？
LiteLLM建议用户将版本固定为1.106.2或之前发布的任何明确版本，删除列出的恶意软件文件，并轮换主机可访问的所有项目，尤其是实例/任务IAM角色。
来源
- LiteLLM Compromised, Steals Credentials | Wiz Blog, Wiz原始文件
- The attack chain behind the v1.107.0 LiteLLM release | liteLLM, LiteLLM原始文件
- Contained: Oct 21, 2026 LiteLLM release v1.107.0 Compromised | liteLLM, LiteLLM原始文件
- LiteLLM hit by second supply chain attack this year, users urged to rotate credentials, Help Net Security
- LiteLLM, Wikipedia
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| LiteLLM于10月21日向PyPI及其容器注册表发布了遭入侵的1.107.0版本。 | LiteLLM | 已证实 |
| 攻击者于10月10日使用暴露的密钥访问Agent Platform并提取了GitHub CLI OAuth令牌。 | LiteLLM | 已证实 |
| 攻击者通过提取的令牌获得了对所有LiteLLM GitHub仓库的所有者级访问权限。 | LiteLLM | 已证实 |
| Wiz表示，恶意LiteLLM软件包约被下载49,000次。 | Wiz | 引述 |
| 恶意软件包提取了每当Python解释器启动时就会执行的文件。 | Wiz | 已证实 |
| Wiz观察到攻击者验证被窃取的AWS凭据并枚举AI模型，相关活动与LLMjacking一致。 | Wiz | 已证实 |
| 遭入侵的PyPI软件包持续可用约2小时，从11:39UTC到13:23UTC。 | LiteLLM | 已证实 |
| LiteLLM遭入侵的Docker标签从11:46UTC到14:20UTC可用。 | LiteLLM | 已证实 |
| LiteLLM建议受影响用户从每个受影响的site-packages目录中删除恶意软件文件。 | LiteLLM | 已证实 |
| Help Net Security报道称，LiteLLM 1.107.0在PyPI和Docker上遭到入侵，恶意软件窃取云登录凭据、开发人员机密信息和AI密钥。 | Help Net Security | 引述 |
| LiteLLM是由BerriAI开发的开源LLM网关，为不同模型提供商提供兼容OpenAI的API。 | Wikipedia | 已证实 |
| wiz.io于2026年10月21日发布了其报告。 | wiz.io | 已证实 |
| docs.litellm.ai于2026年10月23日发布了其报告。 | docs.litellm.ai | 已证实 |
| docs.litellm.ai于2026年10月21日发布了其报告。 | docs.litellm.ai | 已证实 |
未能核实
- 攻击者是否成功访问或滥用每一项被窃取的凭据尚未确定。
- 受影响的组织数量尚未确定。
- LiteLLM内部部署中疑似存在的漏洞是否促成了初始访问尚未确定。
- 恶意发布是否导致任何已确认的客户入侵尚未确定。
