開發生態
LiteLLM 1.107.0 遭植入憑證竊取器與後門：安裝即於所有 Python 程序執行，PyPI 已下架
Hacker News單一來源
核實資料不足
目前依單一來源整理，這是來源數量描述，不是對消息真假的判定。
本次未取得足夠原文證據
據 SafeDep 分析，PyPI 上熱門套件 LiteLLM 1.107.0 版含有憑證竊取程式與遠端程式碼執行後門，已由 PyPI 下架。該版本七個 wheel（Linux、macOS、Windows）皆在 site-packages 安裝三個檔案：cook.pth 會載入 cook.py（竊取器），sitecustomize.py 則啟動背景常駐程式，每小時從 GitHub 檔案讀取伺服器位址，重新執行竊取並下載執行該伺服器的程式碼。由於 .pth 檔在每次 Python 啟動時執行，即使程式未匯入 litellm，主機上的應用程式、pip、IDE 語言伺服器與 CI 任務都會觸發。竊取範圍包括 SSH 金鑰、雲端憑證、CI/CD 密鑰、AI 開發工具權杖、瀏覽器密碼，以及 LiteLLM proxy 資料庫中的 LLM 供應商金鑰；資料加密後傳送至 litellm[.]dev 網域。
植入方式方面，1.107.0 的 sdist 之 pyproject.toml 多出一行 data = "cook"，但上游 GitHub 原始碼與任何公開 commit 皆不含此設定。標籤 v1.107.0 指向的 commit 其 pyproject.toml 版本為 1.108.0，而 sdist 與較晚的 main commit 相符，另有五處修改，包括將版本號改回 1.107.0、將相依套件釘回 rc2 版本，使依賴差異看起來正常。SafeDep 檢查 9:30 至 12:30 UTC 間全部 539 次 GitHub Actions 執行，未發現有公開的工作流程建置或發布此版本；PyPI 上 1.107.0、1.106.2 與 rc2 皆無 provenance 證明。
SafeDep 以中高信心判斷，BerriAI 的私有發布流程可能是從遭攻擊者修改的 git 來源建置了這些 wheel，攻擊者可能取得維護者或機器人憑證、私有分支或建置參照；單純竊取 PyPI 權杖的可能性較低。確切成因需待 BerriAI 的流程紀錄確認。此為單一來源報導，尚未有其他獨立證實。受影響者應檢查是否安裝過 1.107.0，並輪換主機上的所有憑證與 LLM 供應商金鑰。
讀原始報導背景
LiteLLM 是由 BerriAI 開發的開源大型語言模型（LLM）閘道器，由 Ishaan Jaffer 與 Krrish Dholakia 創立。它提供統一、相容 OpenAI 的應用程式介面（API），用來存取並將請求路由到不同的模型供應商。使用者可以將它部署為自架的代理伺服器（proxy），也可以直接當成 Python 函式庫嵌入應用程式中。
社群討論
社群對 LiteLLM 再度遭入侵普遍震驚並質疑其供應鏈安全，多數人建議暫時釘選至攻擊前版本、考慮 uv/npm 預設加入 24–48 小時 cooldown，也有人認為 LLM 理應能協助偵測。最受關注的分歧在於 BerriAI 對企業客戶提供未公開的私有 registry 並提及一個將於 10/27 揭露的漏洞，被批評為「只保護付費客戶」；另有人指出 3 位開發者 GitHub 憑證遭竊代表問題可能系統性存在，並提到 JFrog 的分析與官方事件公告。