LiteLLM在2026年10月21日被安全公司Wiz披露一起供应链攻击：当天11时39分（UTC），带木马的LiteLLM 1.107.0版本被上传到PyPI，装上后会在Python解释器每次启动时自动运行，并偷走机器上的各类凭据。Wiz给出的最近安全版本是1.106.2；GHCR和Docker Hub上同样被植入的镜像标签已在13时53分（UTC）左右被移除。用过LiteLLM的团队先要确认的不是有没有中招的新闻，而是自己环境里到底装的是哪个版本。
被偷的不只是模型密钥
按Wiz的拆解，恶意包会在site-packages根目录放下cook.pth、cook.py和sitecustomize.py三个文件，启动时收集浏览器保存的密码与Cookie、AWS与GCP、Azure的云凭据、SSH私钥，以及环境变量和配置文件里的OpenAI、Anthropic、Cohere等模型API密钥，加密后发往一个冒充LiteLLM官方基础设施的域名。更麻烦的是LiteLLM Proxy本身：它把上游各家的密钥存在PostgreSQL数据库里，窃密程序会直接查询这张凭据表。也就是说，网关当初为了方便统一管理而集中存放的密钥，这次成了被一次打包带走的东西。
装过1.107.0的，按凭据已泄露处理
处理顺序不要反。第一步把环境回退到1.106.2，并检查site-packages根目录有没有上述三个可疑文件、网络日志里有没有访问过冒充域名的记录；第二步轮换这台机器能接触到的全部凭据，包括云厂商密钥、模型API密钥和SSH密钥，只卸载恶意包而不换密钥等于没处理。没有装过1.107.0的团队风险低得多，但也值得借这次事件把依赖版本锁定和升级审核补上：网关类组件握着全公司的模型钥匙，它的更新不该和普通小库走同一条自动升级通道。
