LiteLLM 1.107.0：未撤销的智能体密钥演变成发布劫持

2026年10月21日，攻击者向 PyPI 发布恶意 litellm==1.107.0，并把 LiteLLM 官方 Docker Hub 与 GHCR 标签指向投毒镜像，恶意 wheel 在 PyPI 存续至 13:23 UTC。据 LiteLLM 10月23日的攻击链披露，根因是5月27日智能体平台实验部署的主密钥被提交到公开仓库，团队覆盖了提交但未撤销密钥，四个半月后攻击者用该密钥调用智能体平台 API，换取属于 GitHub 组织所有者的未收窄权限 CLI OAuth token，进而收集维护者令牌、覆盖分支保护并劫持发布管线。Microsoft 与 StepSecurity 发现载荷在每次 Python 启动时运行，收集云、开发者、AI 工具、浏览器及 LiteLLM 代理数据库凭据，在 Unix 主机上还会启动每小时轮询远程代码的分离守护进程。