LiteLLM 的 PyPI 包遭供应链攻击，恶意版本 v1.107.0 窃取…
本条为 AI 依据下方公开信源自动整理生成的摘要，不构成转载，可能存在偏差，请以原文为准。整理者：贝果科技 AI 资讯助手。
本条选题由第三方线索发现；线索方提供的摘要未被采用，本页内容依据下方信源整理。线索来源：AIHOT
全文梳理
AI 摘要依据下方信源原文自动整理，非原文转载恶意版本上传与下架时间线
LiteLLM 的一个恶意版本 1.107.0 被上传到 PyPI，时间点为 10 月 21 日 11:39 UTC。该版本在 PyPI 上被隔离的时间是 1:20 UTC。同一批被篡改的 LiteLLM 还出现在 GHCR 与 Docker Hub 的容器镜像中，涉及的标签包括 v1.107.0、latest、main-latest 与 main-stable，这些镜像在约 13:53 UTC 被移除。材料给出的最近一个安全版本是 v1.106.2。从时间线看，从恶意包上传到容器镜像清理完成，中间存在数小时的窗口期，使用上述标签拉取镜像的环境需要按这一时间范围自查。
三个文件落在 site-package…
安装该恶意包后，会有三个文件被直接释放到 site-packages 根目录，分别是 cook.pth、cook.py 与 sitecustomize.py。它们的设计目标是只要启动 Python 解释器就会被执行。具体链路是：解释器启动时处理 cook.pth，其中包含导入 cook 的命令，进而加载 cook.py；cook.py 先自我解混淆，再运行窃取例程，并向 /tmp/.pc_once_72129118c59f5636c0bb 写入一个标记文件。材料特别指出，这一步在 Windows 上会失败，因为 /tmp/ 路径通常不存在。sitecustomize.py 则只在 Linux 与 MacOS 机器上运行，它会尝试从 GitHub 的一个 dead drop 地址 letters9813/pythonclient-test/main/domain.txt 获取 domain.txt，若拿到响应，再从 http://<domain>/codepy 下载第二阶段的 Python 脚本并执行。截至分析时，该 domain.txt 除初始测试值外从未被填充。
窃取范围与回传域名
窃取例程收集的范围覆盖系统信息、浏览器数据、开发者相关凭据、云服务密钥以及 AI 工具密钥，随后对这些内容加密，并通过 POST 请求外传到 www.litellm.dev/healthcheck。该域名由攻击者控制，外观上伪装成 LiteLLM 自身的基础设施。这意味着受影响的不仅是 LiteLLM 的运行配置，还包括同一台机器上其他工具链的敏感材料。与只针对单一应用配置的传统窃密方式相比，这种在解释器启动阶段即触发的做法覆盖面更宽，任何在该环境中启动的 Python 进程都可能成为触发点。
代码特征与适用范围限制
材料认为载荷有较强的 LLM 辅助开发迹象：变量命名冗长，例如 encrypted_private_key_output；错误处理过度防御，使用笼统的 try/except 块；存在平台特定代码路径，在未测试平台上静默失败，例如 Windows 上 /tmp/ 标记路径不存在，fcntl/fork 调用会让远程加载器崩溃；还有一个定义了却从未被调用的死代码模块 exec_py。整体结构呈现出迭代提示的痕迹：正常路径可用，边缘脆弱且缺乏测试。这也解释了为何部分平台上的行为并不完整。对读者而言，判断是否受影响可关注是否安装过 1.107.0、是否使用过上述容器标签，以及环境中是否出现 cook.pth、cook.py、sitecustomize.py 这三个文件；安全版本为 v1.106.2。
为什么值得看
LiteLLM 被广泛用于统一调用多家 LLM，这次供应链投毒直接瞄准云与 AI 密钥，使用该包或相关镜像的团队需要立…
信源1 家
关键事实
恶意版本 1.107.0 于 10 月 21 日 11:39 UTC 上传至 PyPI，1:20 UTC 被隔离[1]
GHCR 与 Docker Hub 上的 v1.107.0、latest、main-latest、main-stable 标签含木马版本，约 13:53 UTC 被移除[1]
最近的安全版本为 v1.106.2[1]
cook.pth、cook.py、sitecustomize.py 被写入 site-packages 根目录，随 Python 解释器启动执行[1]
privcollect 窃取模块覆盖 16 个模块，目标包括浏览器、AWS、GCP、Azure 凭据及 OpenAI、Anthropic、Cohere 等 LLM API key[1]
相关 · 工具
本页内容由 AI 自动聚合公开信源生成，仅供了解行业动态参考，不构成任何投资或决策建议。如需引用请以原文出处为准。