LiteLLM v1.107.0供应链攻击曝光 两次入侵凸显维护账号风险

2026年10月21日，LiteLLM v1.107.0恶意包在PyPI上架约2小时、Docker latest标签指向恶意镜像达3小时，自动在Python启动时运行后门，定向窃取OpenAI、Anthropic、AWS、Azure、GCP、HuggingFace等全套AI与云服务凭据。

事实还原

攻击者利用盗取的三名LiteLLM维护者GitHub OAuth令牌，修改发布流程并触发恶意版本推送。PyPI恶意包存在时间为11:39至13:23 UTC，Docker v1.107.0、latest、main-latest和main-stable标签恶意镜像服务时间为11:46至14:20 UTC。所有先前版本安全，受影响版本已被移除，最新的安全版本为v1.106.2。

据报道，攻击者在一个暴露于公网的内部LiteLLM部署中发现意外用户账户，通过其日志获取令牌。恶意代码被植入Python启动文件，无论应用是否加载LiteLLM均会执行。它收集AWS、Azure、Google Cloud、Kubernetes、Docker凭据，以及Git、SSH、GPG密钥、浏览器登录信息和LiteLLM代理部署数据库中的模型设置。

机制拆解

恶意代码将收集的数据加密发送至litellm[.]dev域下的healthcheck地址，并定期检查GitHub文件以获取后续远程代码执行指令。Socket分析显示，该版本在macOS、Linux、Windows七个构建中均包含恶意组件。构建记录显示来源仓库名为Berri-AI/litellm，与合法BerriAI/litellm项目仅一字符之差。

Wiz研究人员观察到，数据离开受害系统约4.5小时后，攻击者开始验证从CI运行器和Kubernetes节点获取的AWS凭据，并检查能否访问Amazon Bedrock上的AI模型。

产业影响

LiteLLM作为企业AI代理部署的关键中间层，连接多个模型提供商与云服务。年内第二次供应链入侵直接影响使用该工具链的企业部署安全。企业客户若安装过v1.107.0，需将凭据视为已泄露并轮换。使用私有注册表的客户未受影响。

攻击暴露AI基础设施维护账号被针对性猎取的结构性风险。收集的凭据中包含Codex、Claude、Gemini和Cursor的认证文件，显示攻击者对AI开发环境的系统性兴趣。

战略判断

（此段为分析而非事实）LiteLLM两次事件均通过维护者账号入侵发布管道，表明AI工具链中间层已成为高价值目标。企业需重新评估对单一开源代理工具的依赖程度，尤其当该工具同时处理多云和多模型凭据时。历史供应链攻击显示，短时间窗口仍可能造成长期凭据滥用，建议优先采用多因素验证和发布流程隔离。