Hacker News 热门· abhisek·· 8 小时前精选AI 评分87
LiteLLM 1.107.0 在 PyPI 遭供应链攻击，被植入凭证窃取与远程后门
Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor
AI 导读
开源工具 LiteLLM 在 PyPI 发布的 1.107.0 版本被植入凭证窃取与远程代码执行后门，相关安装包已被 PyPI 下架。攻击者通过修改构建配置在 wheel 包中注入恶意文件，只要宿主机启动任意 Python 进程便会触发窃取云凭证、SSH 密钥与模型 API 密钥。SafeDep 分析指出 GitHub 上游源码并未受损，恶意版本极可能是由受到攻击的私有构建流水线所打包发布。
推荐理由
原文详细还原了恶意包的构建机制与后门执行链，为排查此类供应链投毒提供了可直接参考的排查路径。
来源：Hacker News 热门 · safedep.io