攻击详情
LiteLLM 是一个用于将应用程序连接到人工智能模型的开源软件网关，其软件供应链于 2026 年 10 月 21 日遭到攻击。此次入侵导致 PyPI 存储库以及 Docker Hub 和 GHCR 平台上发布了版本号为 1.107.0 的恶意版本，使 Windows、Linux 和 macOS 系统的用户面临数据被窃取的风险。
恶意软件的工作机制
安全研究人员指出，攻击者并未触及项目的核心源代码，而是在安装包中注入了三个恶意文件（cook.pth、cook.py 和 sitecustomize.py）。这些文件会在每次运行 Python 环境时执行恶意负载，从而确保即使在开发者尝试检查受感染的包时，恶意软件也能保持持续运行。
该恶意软件针对多种敏感数据，包括：
- 云凭据： 如 AWS、Azure、Google Cloud 和 Kubernetes 的密钥。
- 开发者机密： SSH、GPG 和 TLS 密钥，以及 Git、GitHub 和 npm 的凭据。
- 浏览器数据： Cookie、浏览记录和保存的支付信息。
- 人工智能设置： 存储在 LiteLLM 中的人工智能服务提供商凭据。
开发者应采取的措施
如果您安装了 1.107.0 版本，必须立即采取恢复措施：
- 隔离系统： 请勿在受感染的环境中运行 Python 解释器，因为这会激活恶意软件。
- 重建系统： 必须隔离受影响的系统，并从干净且可靠的备份中进行重建。
- 轮换密钥： 假设设备上存在的所有机密、密码和访问密钥均已被窃取，请立即进行更改。
- 回退至安全版本： 目前建议使用 1.106.2 版本，这是攻击发生前最后一个稳定且安全的版本。
为什么此消息很重要？
LiteLLM 是一款广泛使用的工具，每月下载量超过 9200 万次，并被 NVIDIA、Netflix 和 Okta 等大型公司使用。此次事件再次凸显了开源项目供应链的脆弱性，攻击者只需访问持续集成/持续部署（CI/CD）流水线，即可在几分钟内污染成千上万开发者和公司所依赖的软件包，这使得监控软件包的完整性成为了一项至关重要的安全需求。