从4.8亿下载量的 LiteLLM 投毒事件看 AI 基础设施安全攻与防

大模型网关工具 LiteLLM 的 1.82.7 和 1.82.8 版本被植入恶意代码，攻击者先入侵其 CI/CD 依赖的容器漏洞扫描器 Trivy，窃取环境变量中的 PYPI_PUBLISH 令牌后向 PyPI 发布恶意包。恶意文件 litellm_init.pth 利用 Python site 模块启动时自动执行 .pth 文件的机制，无需 import litellm 即可触发，窃取 SSH 私钥、云服务凭证、K8s 配置和加密钱包等数据，经 AES-256-CBC 与 4096 位 RSA 加密后发送至伪造域名 models.litellm[.]cloud。攻击还会读取 K8s 集群 Secret、在 kube-system 节点创建特权容器并植入 systemd 级后门，在本地写入 ~/.config/sysmon/sysmon.py 实现持久化。