LiteLLM 1.107.0 事故分析：发布流水线如何失守、为何签名未能保护

2026年10月21日，PyPI 上的 litellm==1.107.0 被植入凭据窃取代码，同标签 Docker 镜像同遭感染，这是开源 LLM 网关 LiteLLM 继 2026 年 3 月 1.82.7/1.82.8 被入侵后一年内的第二起供应链事故。作者综合 BerriAI、StepSecurity、Wiz 和 Socket 的报告还原：攻击者用三名开发者的 GitHub CLI OAuth 令牌，以组织所有者令牌关闭分支保护，把构建源换成仅差一个连字符的孪生仓库 Berri-AI/litellm，通过人工审批并清除运行记录，从首次改动到发布约一个半小时。感染窗口内 PyPI 包存活约 1 小时 45 分、Docker 浮动标签约 2 小时 30 分，1.106.x 及更早版本与 1.107.0rc1/rc2 不受影响；文末给出排查命令、凭据轮换清单和七条供应链防护教训。