LiteLLM今年第二次遭投毒：不调用也能偷密钥

BiRun 讯，动察 Beating AI 快讯，安全公司 JFrog 发现，热门开源 AI 模型网关 LiteLLM 再次遭到供应链攻击。其最新的 1.107.0 版本被植入恶意程序，官方 Docker 镜像也受到影响。LiteLLM 可以统一调用 OpenAI、Anthropic 等模型，并集中管理 API 密钥，今年 3 月就曾因另一场供应链攻击遭到投毒。

这次攻击更加隐蔽。黑客在 Python 安装包中藏入三个额外文件。用户安装后，只要启动相关 Python 环境，即使没有调用 LiteLLM，恶意代码也会自动运行。它会搜集浏览器密码、SSH 私钥、AWS 等云平台凭证，以及 Claude、Codex、Cursor 等开发工具的认证信息。还会尝试读取 LiteLLM 数据库中保存的模型 API 密钥，发送到伪装成官方域名的服务器。

攻击者还留下了一个持久化后门，每小时检查一次远程指令，必要时下载并执行新的代码。更麻烦的是，GitHub 上的正式版本源码没有这些恶意文件，但发布到 PyPI 的全部七个平台安装包都被植入木马。社区通过 Docker 构建记录发现，发布系统使用的源码地址指向一个与官方仓库名称只差一个连字符的仿冒仓库。它究竟如何混入发布流程，仍未查清。

目前 PyPI 已移除恶意版本，Docker Hub 也已撤下受影响镜像。JFrog 提醒，安装或运行过 1.107.0 的用户应将相关凭证视为可能泄露，隔离并重建环境，轮换 API 密钥等敏感凭证，而不是简单卸载软件。已确认安全的回退版本为 1.106.2。