未撤销的密钥：从 Agent 凭据到 LiteLLM 发布劫持

2026年10月21日，携带凭据窃取载荷的 litellm==1.107.0 被发布到 PyPI 和 LiteLLM 官方 Docker Hub 与 GHCR 镜像，这是 LiteLLM 2026年内第二次供应链投毒。CSA 依据 LiteLLM 的攻击链披露梳理：一枚 5月27日提交到公开仓库、从未撤销的 Agent Platform master key 在 10月10日被用于调取内部 API，返回一位 GitHub 组织所有者的 CLI OAuth token；攻击者借此在11天里收集多名维护者 token，关闭分支保护并把发布工作流指向仿冒仓库 Berri-AI/litellm，由正规管道构建、签名并发布了带有效溯源的恶意制品。载荷在每次 Python 启动时运行窃取器，转储代理数据库中的上游提供商密钥，并启动每小时轮询远程代码的守护进程。