LiteLLM v1.107.0 发布事件背后的攻击链

LiteLLM 发布根因分析，还原恶意版本 litellm==1.107.0 的完整攻击链。2026 年 5 月 27 日，含 Agent Platform 主密钥的配置文件被提交到公开仓库，该密钥被标记需撤销但未执行；10 月 10 日攻击者用主密钥从 API 提取 GitHub 组织所有者的 GitHub CLI OAuth token，获得 owner 级访问，又借内部仓库 CI workflow 向 webhook.site 外传两名维护者的 token。10 月 21 日，攻击者绕过分支保护，把发布源指向仿冒组织 Berri-AI 的 fork，用窃取的 token 触发并批准生产发布，7 个恶意 wheel 发布到 PyPI，Docker Hub 与 GHCR 镜像随后发布，攻击者还删除运行记录并 force-push 清理历史。