LiteLLM供应链攻击溯源至泄露主密钥

LiteLLM 将上周的供应链攻击追溯到今年 5 月误提交到公开 GitHub 仓库的一个 master key：该密钥当时被删除但未吊销。攻击者用它于 10 月 10 日取得仓库 owner 级权限，并窃取两名维护者权限工程师的 GitHub CLI OAuth token。 据 Wiz 称，被植入木马的包在 PyPI 上架不到两小时即被隔离，期间下载量约 4.9 万次。LiteLLM 提示，安装并运行过 1.107.0 版本的用户应假定受影响系统可访问的任何凭据均可能已被窃取。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。