LiteLLM 1.107.0：当模型网关日志成为凭据存储

2026 年 10 月 21 日，LiteLLM 1.107.0 的恶意构建被发布到 PyPI、Docker Hub 和 GHCR，内含凭据窃取程序与远程代码加载器。LiteLLM 称攻击者用三名工程师的 GitHub CLI OAuth token 驱动了发布流水线，并怀疑一个对公网暴露的内部部署记录了 Claude Code 会话的请求与响应体，使网关日志中留存了与模型访问无关的开发者 GitHub 凭据。恶意 wheel 加入 cook.pth、cook.py 和 sitecustomize.py，可在任意 Python 进程启动时执行；窃取器在设置 DATABASE_URL 时用 Prisma 导出 LiteLLM 的凭据表与模型表。Wiz 称被盗 AWS 角色凭据在约 4.5 小时后被用于枚举 Bedrock 模型。