LiteLLM 1.107.0 遭入侵，植入窃密程序与后门

1. 22:53
   X@silvanopuccini· 讨论

   6/8 · LiteLLM El artefacto 1.107.0 contenía malware. Si lo instalaste o ejecutaste: aislá el entorno, reconstruí desde…（新标签页打开原帖）
2. 20:32
   X@Leverlark· 讨论

   LiteLLM 1.107.0 shipped a credential stealer through its own release pipeline. A cook.pth file runs it at every Python…（新标签页打开原帖）
3. 03:18
   X@mykolamandra· 讨论

   on 21 October, version 1.107.0 of litellm shipped with a credential stealer inside litellm is the free gateway many fir…（新标签页打开原帖）
4. 01:30
   X@alex_cuciureanu· 讨论

   LiteLLM's poisoned 1.107.0 on PyPI shipped an infostealer and a remote access trojan. It had about 49,000 downloads in…（新标签页打开原帖）
5. 01:07
   X@SagarGiri1707· 讨论

   The Update You Trusted: How LiteLLM 1.107.0 Shipped a Credential Stealer On October 21, a Python package downloaded ab…（新标签页打开原帖）

1. 23:41
   X@dmshirochenko· 讨论

   source: https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain（新标签页打开原帖）
2. 23:40
   X@dmshirochenko· 讨论

   litellm's master key for its agent platform was committed to a public repo on may 27. it was never revoked. on oct 10…（新标签页打开原帖）
3. 22:02
   X@DFIR_Radar· 讨论

   Trojanized LiteLLM 1.107.0 pushed to PyPI and Docker on Oct 21 hooks Python's startup routine to steal credentials befo…（新标签页打开原帖）
4. 19:45
   X@codevolt· 讨论

   Source: https://docs.litellm.ai/blog/security-incident-oct-21-2026（新标签页打开原帖）
5. 19:45
   X@codevolt· 讨论

   Removing a bad Python package is not always enough. A poisoned release this month dropped a .pth file and https://sitec…（新标签页打开原帖）
6. 15:51
   Хабр精选

   LiteLLM 1.107.0 版本中发现窃密程序与后门

   2026 年 10 月 21 日，AI 网关 LiteLLM 的发布流水线遭入侵，PyPI、Docker Hub 和 GHCR 在数小时内分发了含窃密程序与后门的 1.107.0 版本。攻击者未改动官方仓库代码，而是把构建重定向到仅差一个连字符的仿冒仓库 Berri-AI/litellm，使恶意包通过官方签名发布；据 LiteLLM 的分析，入口是 5 月泄露后一直未撤销的平台主密钥。文章建议确认是否运行过 1.107.0，删除恶意文件并在 1.106.2 上重建环境，从干净主机轮换各类密钥，并固定版本与哈希、改用短时效令牌。

7. 06:42
   X@pillespilles· 讨论

   Sources: LiteLLM's incident report https://docs.litellm.ai/blog/security-incident-oct-21-2026 and Microsoft's analysis…（新标签页打开原帖）
8. 06:41
   X@pillespilles· 讨论

   Your AI app's weakest link isn't the model. It's the proxy in front of it. The LiteLLM 1.107.0 compromise ran at Python…（新标签页打开原帖）
9. 00:10
   X@the_shaps· 讨论

   @mark_k @LiteLLM Wait, isn't the cause in their investigation already? "a master key leaked in May, never revoked, led…（新标签页打开原帖）

1. 23:05
   X@mark_k· 讨论

   On October 21, attackers managed to get malicious code signed and published through @LiteLLM's own release pipeline. T…（新标签页打开原帖）
2. 22:32
   X@HeraklesAI· 讨论

   LiteLLM hardened its release pipeline after a compromise in March. On 21 October, someone holding three sets of stolen…（新标签页打开原帖）
3. 22:18
   X@mackliu0099· 讨论

   只要装过 1.107.0 的主机能联网，就应假定数据已外传。需要视为泄露的包括： • 云实例或任务的 IAM 角色凭证 • LiteLLM 代理数据库里存的各家模型 API key，以及 master key 和虚拟 key • DATA…（新标签页打开原帖）
4. 22:17
   X@mackliu0099· 讨论

   🚨 LiteLLM 1.107.0 被投毒（10/21）。PyPI 和 Docker 的 latest 等标签均受影响。 危害：恶意程序会窃取凭证，并加载远程代码执行工具，攻击者可以在你的机器上继续执行任意代码。 只用 ChatGPT、C…（新标签页打开原帖）
5. 22:14
   X@mackliu0099· 讨论

   自查：pip show litellm 看是否 1.107.0；搜 cook.pth、https://sitecustomize.py。 中招后别先跑 pip（会再次触发恶意钩子）：先删这两个文件，再重建环境并固定 1.106.2，然后轮…（新标签页打开原帖）
6. 22:09
   X@mackliu0099· 讨论

   受影响窗口（UTC）： • PyPI 1.107.0：11:39–13:23 • Docker v1.107.0 / latest / main-latest / main-stable：约 11:46–14:20 中招后别先跑 pip，…（新标签页打开原帖）
7. 22:08
   X@mackliu0099· 讨论

   LiteLLM 1.107.0 被投毒（10/21，PyPI 和 Docker latest 等标签均受影响）。装过或跑过的，按已失陷处理：重建环境、固定 1.106.2、轮换全部密钥。注意：Python 一启动就会触发，GitHub 源…（新标签页打开原帖）
8. 21:53
   X@verbal72· 讨论

   LiteLLM's root-cause write-up (Oct 23): https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain Micros…（新标签页打开原帖）
9. 21:53
   网页Zenn 安全话题（日语）· 媒体跟进

   pip install しただけで鍵が盗まれる？ LiteLLM 1.107.0 乗っ取りの仕組みと対処（新标签页打开原帖）
10. 21:53
    X@nomoatnoproblem· 讨论

    LiteLLM's release pipeline was hijacked again: litellm 1.107.0 on PyPI (Oct 21, 11:39-13:23 UTC) and its Docker images…（新标签页打开原帖）
11. 21:52
    X@verbal72· 讨论

    The LiteLLM hack didn't start with malware. It started with an agent's config. LiteLLM ran an experimental platform fo…（新标签页打开原帖）
12. 17:30
    X@modularciso· 讨论

    Practical action A one-day delay on new package releases would have skipped the LiteLLM compromise. The bad version wa…（新标签页打开原帖）
13. 17:00
    X@alex_cuciureanu· 讨论

    LiteLLM 1.107.0 on PyPI ships a credential stealer in cook.pth and https://sitecustomize.py, so it runs at Python start…（新标签页打开原帖）
14. 16:41
    X@rst_cloud· 讨论

    #threatreport #MediumCompleteness LiteLLM 1.107.0 Supply Chain Attack: How a Hijacked Release Pipeline Signed Malicious…（新标签页打开原帖）
15. 04:30
    网页AI Threat Watch (aithreat.io)· 媒体跟进

    LiteLLM supply chain attack started with an exposed master key（新标签页打开原帖）
16. 02:52
    X@7zSushi· 讨论

    🚨 LiteLLM 1.107.0 (Oct 21) was malicious: a credential stealer plus a backdoor, published through LiteLLM's own release…（新标签页打开原帖）

1. 23:56
   X@cslelouch· 讨论

   @LiteLLM 1.107.0 shipped malicious to PyPI and Docker on Oct 21 after its release pipeline was compromised. 1.106.2 and…（新标签页打开原帖）
2. 23:38
   X@gthimmes· 讨论

   A poisoned LiteLLM release ran a credential stealer on every Python start, even in apps that never imported it. The mal…（新标签页打开原帖）
3. 23:07
   X@techhelpcanada· 讨论

   LiteLLM says version 1.107.0 was compromised across PyPI and public Docker images, with malware built to steal credenti…（新标签页打开原帖）
4. 21:15
   X@saeidzeb· 讨论

   Here is the post from LiteLLM: https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain（新标签页打开原帖）
5. 21:15
   X@saeidzeb· 讨论

   The LiteLLM supply chain attack didn't start with a hacked maintainer. It started with an agent platform holding the or…（新标签页打开原帖）
6. 20:45
   CSA Labs Research精选

   LiteLLM 1.107.0：未撤销的智能体密钥演变成发布劫持

   2026年10月21日，攻击者向 PyPI 发布恶意 litellm==1.107.0，并把 LiteLLM 官方 Docker Hub 与 GHCR 标签指向投毒镜像，恶意 wheel 在 PyPI 存续至 13:23 UTC。据 LiteLLM 10月23日的攻击链披露，根因是5月27日智能体平台实验部署的主密钥被提交到公开仓库，团队覆盖了提交但未撤销密钥，四个半月后攻击者用该密钥调用智能体平台 API，换取属于 GitHub 组织所有者的未收窄权限 CLI OAuth token，进而收集维护者令牌、覆盖分支保护并劫持发布管线。Microsoft 与 StepSecurity 发现载荷在每次 Python 启动时运行，收集云、开发者、AI 工具、浏览器及 LiteLLM 代理数据库凭据，在 Unix 主机上还会启动每小时轮询远程代码的分离守护进程。

7. 20:31
   X@CTIAcademy· 讨论

   Sources: LiteLLM RCA: https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain Datadog: https://security…（新标签页打开原帖）
8. 20:31
   X@CTIAcademy· 讨论

   🦉 LiteLLM's first explanation of its 21 October breach was wrong. Day one: tokens pulled from an internal deployment's…（新标签页打开原帖）
9. 20:18
   X@lwcyber· 讨论

   It ran before your code did. Attackers poisoned LiteLLM 1.107.0 with stolen engineer tokens, and a Python startup file…（新标签页打开原帖）
10. 20:05
    X@virusbtn· 讨论

    Microsoft researchers analysed a compromised LiteLLM 1.107.0 release published to the PyPI & distributed through of…（新标签页打开原帖）
11. 20:00
    网页AI Threat Watch (aithreat.io)· 媒体跟进

    Popular AI tool LiteLLM says unrevoked key allowed hackers to target users（新标签页打开原帖）
12. 16:51
    Хабр精选

    LiteLLM 1.107.0 事故分析：发布流水线如何失守、为何签名未能保护

    2026年10月21日，PyPI 上的 litellm==1.107.0 被植入凭据窃取代码，同标签 Docker 镜像同遭感染，这是开源 LLM 网关 LiteLLM 继 2026 年 3 月 1.82.7/1.82.8 被入侵后一年内的第二起供应链事故。作者综合 BerriAI、StepSecurity、Wiz 和 Socket 的报告还原：攻击者用三名开发者的 GitHub CLI OAuth 令牌，以组织所有者令牌关闭分支保护，把构建源换成仅差一个连字符的孪生仓库 Berri-AI/litellm，通过人工审批并清除运行记录，从首次改动到发布约一个半小时。感染窗口内 PyPI 包存活约 1 小时 45 分、Docker 浮动标签约 2 小时 30 分，1.106.x 及更早版本与 1.107.0rc1/rc2 不受影响；文末给出排查命令、凭据轮换清单和七条供应链防护教训。

13. 14:23
    X@nikunjdesai· 讨论

    Your AI gateway can become a gateway to your credentials. On 21 October, attackers compromised LiteLLM’s release pipeli…（新标签页打开原帖）
14. 14:16
    X@shivanathd· 讨论

    7/ LiteLLM 1.107.0 shipped a credential stealer A hijacked release was live on PyPI, Python's package store, roughly 2…（新标签页打开原帖）
15. 08:42
    X@data_magician_· 讨论

    If you installed LiteLLM 1.107.0, rotate credentials now: the release shipped a credential-stealing hook before it was…（新标签页打开原帖）
16. 07:08
    X@seanmm333· 讨论

    Receipts #1 Asked an AI search what happened with the LiteLLM 1.107.0 malware. Opened every link it cited. 3 cited cl…（新标签页打开原帖）
17. 06:10
    iThome（台湾）精选

    LiteLLM公布供应链攻击后续调查，5月外泄密钥让黑客操控官方发布流程

    LiteLLM公布1.107.0版供应链攻击的调查结果，攻击者利用5月泄露后未撤销的Agent Platform主密钥取得GitHub组织所有者权限，操控官方发布流程，让含窃密程序的版本上架PyPI及容器镜像仓库。5月团队误将实验性Agent Platform的配置文件提交至公开GitHub仓库，虽强制推送覆盖提交并发现密钥需撤销，但未实际撤销；10月10日攻击者用该密钥调用Agent Platform API，从返回的AI代理配置中取得一名组织所有者的CLI OAuth令牌，再借新增的GitHub Actions工作流程在CI环境外泄另外两名维护者的GitHub令牌并删除执行纪录。LiteLLM通过提交标识符与GitHub审计日志还原攻击过程，修正了先前怀疑令牌从内部服务日志外泄的说法；受影响版本已于10月21日下架，团队正全面撤销内部系统及外部服务的相关凭据。

18. 05:52
    X@theautomate_io· 讨论

    A credential stealer shipped inside LiteLLM 1.107.0. It runs before the package is imported and collects cloud tokens,…（新标签页打开原帖）
19. 02:46
    X@cristian_le0· 讨论

    Per LiteLLM's own post-mortem (Oct 23): https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain Don't…（新标签页打开原帖）
20. 02:46
    X@cristian_le0· 讨论

    I'd revoke every key that ever touched a public repo, even after a force-push. LiteLLM's agent-platform master key leak…（新标签页打开原帖）
21. 02:30
    X@UnpromptedBhvr· 讨论

    crew PSA: litellm 1.107.0 on pypi (oct 21) shipped a credential stealer. 1.106.2 is fine. installed it? rotate your key…（新标签页打开原帖）

1. 23:52
   X@HoustonIntrove1· 讨论

   A master key flagged in May and never revoked let attackers push a credential stealer into LiteLLM 1.107.0 on PyPI and…（新标签页打开原帖）
2. 22:25
   X@Breachrr· 讨论

   LiteLLM’s release pipeline was compromised for the second time this year. Version 1.107.0, published to PyPI and offici…（新标签页打开原帖）
3. 18:24
   X@MRNEWSEC_· 讨论

   Fuente: LiteLLM · https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain（新标签页打开原帖）
4. 18:24
   X@MRNEWSEC_· 讨论

   ¿Cuánto tarda una clave maestra filtrada en acabar en un paquete envenenado? En #LiteLLM, 136 días sin revocarla. Si ti…（新标签页打开原帖）
5. 18:00
   X@kotbanditsky· 讨论

   Источники 👇 LiteLLM, полная цепочка атаки (23.10): https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-ch…（新标签页打开原帖）
6. 18:00
   X@kotbanditsky· 讨论

   Мастер-ключ LiteLLM пролежал в публичном репо почти 5 месяцев, и через него в PyPI выкатили релиз с крадущим ключи виру…（新标签页打开原帖）
7. 16:30
   X@monolithic_labs· 讨论

   If you run LiteLLM: version 1.107.0 was compromised - credential stealer plus remote code execution shipped through pip…（新标签页打开原帖）
8. 15:01
   X@drensonai· 讨论

   The library between your agents and your API keys just stole them. LiteLLM, 23M downloads a week. Poisoned for 1h 43m.…（新标签页打开原帖）
9. 12:27
   网页Zenn 安全话题（日语）· 媒体跟进

   LiteLLM 1.107.0 のマルウェア ― AI 開発者が 5 分で確かめることと、次から 3 日待つ設定（新标签页打开原帖）
10. 10:42
    网页Zenn 安全话题（日语）· 媒体跟进

    LiteLLM 1.107.0侵害、Claude Code経由説は誤り。トークン流出の原因と、自分が該当するかの確かめ方（新标签页打开原帖）
11. 10:01
    X@jvvinoth2· 讨论

    4/ litellm 1.107.0 on pypi shipped a credential stealer for about 2 hours before it was pulled. pin your versions and r…（新标签页打开原帖）
12. 09:13
    X@ShipSecurelyDev· 讨论

    LiteLLM's compromised 1.107.0 release started with a master key pushed to a public repo in May. The commit was removed…（新标签页打开原帖）
13. 07:25
    X@arnabkarmkr· 讨论

    litellm compromised on pypi again. 1.107.0, same credential-stealer playbook as march. i run it as the proxy in front…（新标签页打开原帖）
14. 06:34
    X@drensonai· 讨论

    One API key leaked on May 27. Nobody revoked it. 147 days later it shipped a credential stealer to a library with 23M w…（新标签页打开原帖）
15. 06:16
    X@Fahim_Samadi007· 讨论

    Sources: https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain https://www.microsoft.com/en-us/securi…（新标签页打开原帖）
16. 06:16
    X@Fahim_Samadi007· 讨论

    LiteLLM's root cause is an identity story, not a code bug. A key leaked in May got force-pushed away but never revoked.…（新标签页打开原帖）
17. 04:12
    X@rajeshberi· 讨论

    LiteLLM 1.107.0 and its latest/main-stable images shipped a credential stealer for ~2 hours on Oct 21. Uninstalling doe…（新标签页打开原帖）
18. 02:21
    RedditReddit r/AIDangers· 讨论

    Leaked LiteLLM Master Key Let Attackers Steal GitHub Tokens and Hijack Release Pipeline（新标签页打开原帖）
19. 01:25
    X@seclogz· 讨论

    [SECURITY] litellm 1.107.0 compromised (PyPI removed; Docker latest/main-stable removed) https://github.com/BerriAI/li…（新标签页打开原帖）
20. 00:36
    X@TweetThreatNews· 讨论

    Microsoft analyzed compromised LiteLLM 1.107.0 packages that used Python startup hooks to collect credentials and attem…（新标签页打开原帖）

1. 23:51
   X@harupy36· 讨论

   https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain > However, key revocation did not occur for…（新标签页打开原帖）
2. 23:40
   X@InvokerBot· 讨论

   LiteLLM 这次复盘有个细节：泄漏的密钥，代码删了，密钥却没作废。几个月后还是被人拿来用了。平时把 key 误传到 GitHub，第一件事真得是让它失效，光删提交不够。 https://docs.litellm.ai/blog/se…（新标签页打开原帖）
3. 23:33
   X@SnowCrashLabs· 讨论

   @LiteLLM 1.107.0 shipped a credential stealer on Oct 21. Docker tags latest and main-stable carried it that day too. A…（新标签页打开原帖）
4. 23:33
   X@SnowCrashLabs· 讨论

   @LiteLLM 1.107.0 shipped a credential stealer on Oct 21. Docker tags latest and main-stable carried it that day too. A…（新标签页打开原帖）
5. 21:50
   X@1AlexThirkield· 讨论

   Microsoft Security: the compromised LiteLLM 1.107.0 PyPI release ran a credential stealer at Python startup, no import…（新标签页打开原帖）
6. 20:43
   CSA Labs Research精选

   未撤销的密钥：从 Agent 凭据到 LiteLLM 发布劫持

   2026年10月21日，携带凭据窃取载荷的 litellm==1.107.0 被发布到 PyPI 和 LiteLLM 官方 Docker Hub 与 GHCR 镜像，这是 LiteLLM 2026年内第二次供应链投毒。CSA 依据 LiteLLM 的攻击链披露梳理：一枚 5月27日提交到公开仓库、从未撤销的 Agent Platform master key 在 10月10日被用于调取内部 API，返回一位 GitHub 组织所有者的 CLI OAuth token；攻击者借此在11天里收集多名维护者 token，关闭分支保护并把发布工作流指向仿冒仓库 Berri-AI/litellm，由正规管道构建、签名并发布了带有效溯源的恶意制品。载荷在每次 Python 启动时运行窃取器，转储代理数据库中的上游提供商密钥，并启动每小时轮询远程代码的守护进程。

7. 17:00
   网页AI Threat Watch (aithreat.io)· 媒体跟进

   Hackers Breached LiteLLM GitHub Repository 11 Days Before Supply Chain Attack（新标签页打开原帖）
8. 14:35
   X@ralphsaw226· 讨论

   https://docs.litellm.ai/blog/security-incident-oct-21-2026（新标签页打开原帖）
9. 14:34
   X@ralphsaw226· 讨论

   LiteLLM's write-up is worth reading: they believe an attacker got into an internet-exposed internal deployment, found G…（新标签页打开原帖）
10. 12:12
    X @wunderwuzzi23精选

    LiteLLM 公布入侵事件细节：泄露密钥未吊销，最终导致发布版本被植入后门

    LiteLLM 公布了 v1.107.0 发布版本被植入后门所涉攻击链的调查，研究者 Johann Rehberger 摘述了其中几个关键节点。用于给 LiteLLM 植入后门的密钥在 2026 年 5 月 27 日意外泄露，机构内部发现了这次泄露，但密钥始终没有被吊销，作者称攻击者似乎也拿到了它。10 月 10 日，攻击者利用该密钥进一步取得 GitHub 凭证访问权限，最终侵入 LiteLLM 的发布流程并植入后门。从密钥泄露到被利用相隔 4 个多月。

11. 12:03
    X@kannan_chn· 讨论

    Source: Datadog Security Labs' incident analysis — https://securitylabs.datadoghq.com/articles/litellm-compromised-pypi…（新标签页打开原帖）
12. 12:03
    X@kannan_chn· 讨论

    LiteLLM — the open-source AI gateway with ~23M weekly downloads — shipped a trojanized 1.107.0 release on Oct 21 after…（新标签页打开原帖）
13. 05:13
    X@LiteLLM· 讨论

    We have completed our investigation into the attack chain behind the v1.107.0 release. Read it here: https://docs.litel…（新标签页打开原帖）
14. 05:00
    Socket精选

    新证据显示 LiteLLM 窃密工作流在供应链攻击发生前 11 天已成功运行

    Socket 威胁研究团队发现，BerriAI/litellm 仓库中窃取 CI 密钥的恶意工作流早在 2026 年 10 月 10 日就已成功运行，比 10 月 21 日发布恶意 litellm==1.107.0 制品的供应链攻击早 11 天。攻击者以 ci: bump cache config 为提交说明，在当天建删的短命分支上两次添加恶意 workflow，10 月 10 日窃取 GH_TOKEN、GitHub App 私钥等 6 个组织级密钥，10 月 12 日又窃取另外 14 个密钥，两轮合计 20 个，经 base64 编码发往 webhook.site；仓库活动日志将这些操作归于账号 ishaan-berri。Socket 表示，无法确认 10 月 10 日是否为最早入侵时间、凭据如何被窃，以及收集端点是否实际收到数据。

15. 05:00
    LiteLLM精选

    LiteLLM v1.107.0 发布事件背后的攻击链

    LiteLLM 发布根因分析，还原恶意版本 litellm==1.107.0 的完整攻击链。2026 年 5 月 27 日，含 Agent Platform 主密钥的配置文件被提交到公开仓库，该密钥被标记需撤销但未执行；10 月 10 日攻击者用主密钥从 API 提取 GitHub 组织所有者的 GitHub CLI OAuth token，获得 owner 级访问，又借内部仓库 CI workflow 向 webhook.site 外传两名维护者的 token。10 月 21 日，攻击者绕过分支保护，把发布源指向仿冒组织 Berri-AI 的 fork，用窃取的 token 触发并批准生产发布，7 个恶意 wheel 发布到 PyPI，Docker Hub 与 GHCR 镜像随后发布，攻击者还删除运行记录并 force-push 清理历史。

16. 04:13
    X@rwspatin· 讨论

    @LiteLLM @Railway Thanks for jumping in so quickly, @LiteLLM. Full incident write-up for anyone who pulled 1.107.0 👇…（新标签页打开原帖）
17. 02:18
    X@MsftSecIntel· 讨论

    A compromised LiteLLM 1.107.0 release added files that Python could execute during normal interpreter initialization. A…（新标签页打开原帖）
18. 02:17
    X@rocklambros· 讨论

    LiteLLM 1.107.0 shipped a credential stealer, and its own build provenance named the source as Berri-AI/litellm. The re…（新标签页打开原帖）
19. 02:12
    网页AI Threat Watch (aithreat.io)· 媒体跟进

    Inside the LiteLLM 1.107.0 supply chain compromise: Credential theft through Python startup hooks（新标签页打开原帖）
20. 01:24
    X@nicolaycz· 讨论

    Now the keys part, which is the one that worries me most for AI builders LiteLLM, the Python library that lets you cal…（新标签页打开原帖）
21. 01:22
    X@BigVikDada· 讨论

    LiteLLM 1.107.0 was live on PyPI for roughly two hours on 21 October and on the Docker tags a little longer. The payloa…（新标签页打开原帖）

1. 22:46
   X@4kd0CRBVsLxm9gg· 讨论

   这攻击链细思极恐。LiteLLM 官方说，10/21 的 v1.107.0 在 PyPI 和 Docker 被投毒，会偷云/AI 密钥；切入点是 Claude Code 偶尔把 GitHub CLI token 嵌进回复，网关日志照单全记…（新标签页打开原帖）
2. 22:31
   X@StateofThreatHQ· 讨论

   Treat any laptop or build server that installed litellm 1.107.0, a Python software package release uploaded October 21s…（新标签页打开原帖）
3. 20:49
   CSA Labs Research精选

   LiteLLM 1.107.0：当模型网关日志成为凭据存储

   2026 年 10 月 21 日，LiteLLM 1.107.0 的恶意构建被发布到 PyPI、Docker Hub 和 GHCR，内含凭据窃取程序与远程代码加载器。LiteLLM 称攻击者用三名工程师的 GitHub CLI OAuth token 驱动了发布流水线，并怀疑一个对公网暴露的内部部署记录了 Claude Code 会话的请求与响应体，使网关日志中留存了与模型访问无关的开发者 GitHub 凭据。恶意 wheel 加入 cook.pth、cook.py 和 sitecustomize.py，可在任意 Python 进程启动时执行；窃取器在设置 DATABASE_URL 时用 Prisma 导出 LiteLLM 的凭据表与模型表。Wiz 称被盗 AWS 角色凭据在约 4.5 小时后被用于枚举 Bedrock 模型。

4. 18:00
   X@EhanElahi· 讨论

   LiteLLM 1.107.0 on PyPI and Docker (v1.107.0, latest and main tags) shipped a credential stealer on Oct 21 for about 2…（新标签页打开原帖）
5. 17:26
   X@Oldnoob007· 讨论

   LiteLLM’s GitHub tag was clean. Its published package carried malware. PHP was probed before disclosure. ConnectWise s…（新标签页打开原帖）
6. 17:06
   X@AristoclesTheG· 讨论

   2/ LiteLLM v1.107.0 on PyPI and several container tags contained credential-stealing malware and an RCE loader. The Git…（新标签页打开原帖）
7. 16:10
   网页AI Threat Watch (aithreat.io)· 媒体跟进

   LiteLLM Compromised in Fresh Supply Chain Attack（新标签页打开原帖）
8. 14:06
   X@genai_toiukoto· 讨论

   人気のAI管理ツール「LiteLLM」のPyPI（Pythonのパッケージ管理リポジトリ）公式リリースにおいて、バージョン 1.107.0 に悪意あるコード（認証情報泥棒とバックドア）が混入・配布されていた。 https://safede…（新标签页打开原帖）
9. 13:54
   X@rst_cloud· 讨论

   #threatreport #MediumCompleteness LiteLLM Compromised, Steals Credentials | 21-10-2026 Source: https://www.wiz.io/blog/…（新标签页打开原帖）
10. 13:33
    X@T1doo_AI· 讨论

    🚨 LiteLLM 1.107.0 backdoored! Oct 21: All 7 PyPI wheels and some Docker images held credential thieves. Pulled; affect…（新标签页打开原帖）
11. 12:31
    X@guysowe· 讨论

    According to The Register, LiteLLM 1.107.0 was compromised. In the past teams had to hunt CI runners for stolen credent…（新标签页打开原帖）
12. 12:01
    X@tQuietEngineer· 讨论

    🚨The LiteLLM supply chain attack in the last 48 hours is a massive wake up call for anyone building with AI. And the w…（新标签页打开原帖）
13. 09:03
    网页보안뉴스 Boannews（韩）· 媒体跟进

    AI 개발 도구 라이트LLM, 악성코드 감염에 '비상'…AWS·클로드 계정정보 탈취 위험（新标签页打开原帖）
14. 08:47
    X@knightleijun· 讨论

    ⚠ 用 LiteLLM 的注意：1.107.0 这一版被供应链攻击投毒了，装上之后 Python 进程一起动就偷密钥 攻击者用偷来的 GitHub OAuth token 走了 LiteLLM 的官方发布流水线，PyPI 上 1.10…（新标签页打开原帖）
15. 08:22
    X@rst_cloud· 讨论

    #threatreport #MediumCompleteness LiteLLM 1.107.0 PyPI Wheel Contains a Credential Stealer and Persistent Python Backdo…（新标签页打开原帖）
16. 时刻未标
    CERT-In精选

    LiteLLM 的 PyPI 软件包与 Docker 镜像遭入侵

    CERT-In 发布安全通报 CIAD-2026-0053，称 LiteLLM 1.107.0 的 PyPI 包以及托管在 GHCR 和 Docker Hub 上的 Docker 镜像遭到供应链入侵。据通报引述的事件分析，攻击者利用仿冒仓库 Berri-AI/litellm 触发发布流程，修改 pyproject.toml，向 Python site-packages 注入 cook.pth、cook.py 和 sitecustomize.py，借解释器启动机制在应用无需显式导入 LiteLLM 的情况下执行代码。通报建议排查安装过该版本的主机与拉取过相关镜像的环境，从已验证的干净镜像重建容器，并轮换相关凭据，其中将 1.106.2 列为干净版本。

17. 07:46
    X@PresteignAI· 讨论

    Given we are talking security today. 🚨 There was a big hack of litellm on October 21st. Only release v1.107.0 was com…（新标签页打开原帖）
18. 07:26
    X@theairelay· 讨论

    Source: https://wiz.io https://www.wiz.io/blog/litellm-compromised-steals-credentials（新标签页打开原帖）

1. 16:28
   The Hacker News精选

   LiteLLM 怀疑恶意包发布源于 AI 网关日志中泄露的 GitHub 令牌

   攻击者劫持 LiteLLM 发布管道，于 2026 年 10 月 21 日向 PyPI、Docker Hub 和 GHCR 推送含凭据窃取器和后门的恶意版本 v1.107.0，在 UTC 时间 11:39 至 13:23 经 pip 下载未固定版本或 11:46 至 14:20 使用受影响 Docker 镜像的用户受影响。恶意版本通过 cook.pth 加载 cook.py，运行 privcollect 窃取系统、浏览器、开发者、云和 AI 工具机密并外传，sitecustomize.py 每小时从 GitHub 获取 C2 域名并下载执行第二阶段载荷。Wiz 观察到失窃 AWS 凭据在渗出约 4.5 小时后被验证和枚举，调用包括 bedrock:ListFoundationModels，符合 LLMjacking 特征。

2. 08:28
   LavX News精选

   恶意 LiteLLM 1.107.0 版本窃取凭据并植入远程访问木马

   攻击者周三通过 PyPI 和 Docker 仓库发布恶意 LiteLLM 1.107.0 版本，捆绑信息窃取程序与远程访问木马，安全团队随后将该包隔离。恶意代码经仿冒 GitHub 仓库 Berri-AI/litellm 的提交植入 cook.pth、cook.py 和 sitecustomize.py，其中 sitecustomize.py 在 Python 解释器启动时加载并每小时轮询攻击者基础设施等待指令。窃取程序读取 Chrome、Firefox、Edge、Safari 的凭据与 cookie，AWS、GCP、Azure 云凭证，以及 OpenAI、Anthropic、Cohere 等厂商的 API key 与 SSH 私钥，加密后 POST 到 www[.]litellm[.]dev/healthcheck。

3. 时刻未标
   XenoSpectrum精选

   LiteLLM 1.107.0 再遭投毒：恶意软件混过官方发布审批窃取凭据

   LiteLLM 1.107.0 被发现包含窃取凭据的恶意软件和远程代码执行机制，恶意包于 2026 年 10 月 21 日经 PyPI 和 Docker 仓库分发，维护者称已移除受影响产物并控制事态，这是继同年 3 月后 LiteLLM 再次遭入侵。据官方报告，攻击滥用三名工程师的 GitHub 凭据，分支保护被特权账号覆盖，恶意产物经正式审批流程发布；该产物由带连字符的 Berri-AI/litellm 仓库构建，官方源码标签并无恶意文件。GMO Flatt Security 分析称，恶意 wheel 在 site-packages 放入 cook.pth 等文件，借 Python 启动机制运行，不导入 LiteLLM 的程序也可能受影响，可窃取云凭据、SSH 私钥、浏览器数据及 Codex、Claude、Gemini 等开发工具的凭据。

4. 时刻未标
   GIGAZINE精选

   AI 工具 LiteLLM 被发现嵌入窃取密码的恶意程序，仅安装就可能波及其他 Python 程序

   开源 AI 工具 LiteLLM 于 2026 年 10 月 21 日发布到 PyPI 的 1.107.0 版本被植入窃密程序和后门，约两小时后下架。安全公司 SafeDep 调查发现，面向 Windows、macOS 和 Linux 的全部 7 个分发包都含恶意文件，而 GitHub 官方仓库源码没有。恶意程序利用 Python 启动时自动加载的 .pth 文件执行，在同一环境启动 Python 即触发，无需使用 LiteLLM，会窃取浏览器保存的密码和浏览记录、SSH 私钥、云服务认证信息，以及 Claude Code、Cursor、GitHub Copilot 等 AI 开发工具凭据和 LiteLLM 管理的 API 密钥，加密后传至外部服务器 www.litellm.dev；另一文件还含后门，每小时从 GitHub 获取目标服务器并下载执行攻击者准备的程序。

5. 03:36
   X @wunderwuzzi23

   攻击者持续攻击 LiteLLM

   攻击者持续攻击 LiteLLM，Wiz 称已开始观测到失窃凭证被滥用，最初与 LLMJacking 相关。研究者 Johann Rehberger（@wunderwuzzi23）引用 Wiz 的更新并作出上述判断，同时链接其此前撰写的分析文章，说明他认为 LiteLLM 被盯上的原因（https://embracethered.com/blog/posts/2026/hijacking-litellm-for-fun-and-profit/）。Wiz 表示其爬虫于美东时间当天上午发现这起供应链事件，此后持续更新追踪，已观测到来自 168.100.8[.]57 和 165.227.201[.]8 两个 IP 的凭证滥用活动。

6. 03:03
   Хабр精选

   LiteLLM 1.107.0 凭据窃取器：如何检查自己及需要更换什么

   2026 年 10 月 21 日，PyPI 上的 litellm==1.107.0 在所有二进制 wheel 文件中被植入凭据窃取器，v1.107.0 标签的 Docker 镜像同样被感染，latest 等标签约三小时内指向被感染镜像；该版本 11:39 UTC 上传、13:23 从 PyPI 移除，1.106.x 及以下为干净版本。据 StepSecurity 的分析，窃取器向 site-packages 写入 cook.pth、cook.py 和 sitecustomize.py，每次 Python 启动即运行、无需 import litellm，会窃取 SSH 与云密钥、.env、环境变量和 AI 工具 token，若设置 DATABASE_URL 还会转储含厂商 API 密钥的代理数据库，加密后发往 litellm.dev。

7. 02:01
   The Hacker News精选

   LiteLLM 遭供应链攻击，被植入凭据窃取器与后门

   流行的 Python 包 LiteLLM 遭供应链攻击，1.107.0 版本经 PyPI wheel 和 Docker 镜像分发时被植入凭据窃取器与后门，该包现已在 PyPI 被隔离，恶意 Docker 镜像已删除。SafeDep、Socket、StepSecurity 和 Upwind 报告了此事。LiteLLM 安全负责人 Oliver Jensen 称，恶意操作通过三名工程师的 GitHub 账号进行，疑似利用被盗的 GitHub CLI OAuth token，用一个账号触发发布流程、另一个账号批准，相关 token 已全部吊销，攻击者获取 token 的机制尚未查明。已下载该版本的用户被建议在干净环境中吊销并更换暴露凭据，并用 digest 固定到 1.106.2 版本。

8. 01:10
   iThome（台湾）精选

   LiteLLM工程师GitHub凭证遭窃，官方发布流程成恶意程序散布管道

   黑客利用窃取的工程师 GitHub 凭证篡改开源 AI 模型串接工具 LiteLLM 的官方发布流程，使 1.107.0 版被植入窃密程序与远程代码执行后门，经 PyPI 和 Docker 映像库散布。调查发现攻击者取得 3 名工程师凭证，用有管理权限的账号关闭代码保护措施，并把发布系统读取源码的位置改成名称相近的仿冒仓库，GitHub 上公开的 1.107.0 源码并不含恶意文件。SafeDep 分析发现，受污染套件会在 Python 环境加入恶意文件，同一环境其他程序启动时也可能触发窃密，收集云服务凭证、AI 服务密钥、远程登录私钥及 LiteLLM 数据库中的密钥并外传。

9. 00:40
   Mend.io精选

   PyPI 上的 LiteLLM 1.107.0 遭入侵，携带凭据窃取器与代码加载器

   LiteLLM 1.107.0 于 10 月 21 日被以恶意版本发布到 PyPI，七个 wheel 都在 site-packages 根目录植入 cook.pth、cook.py 和 sitecustomize.py，使 Python 一启动就运行凭据窃取器。PyPI 在两小时内隔离该版本，维护者于 14:32 UTC 移除同一版本的恶意 Docker 镜像，而该包过去一个月的下载量超过 9200 万次。攻击者在 pyproject.toml 的 maturin 配置中加入 data = "cook"，把 cook 目录打进 wheel，并把版本号从 tag 中的 1.108.0 回退为 1.107.0；十个提交以与真实组织名 BerriAI 相似的仿冒名 Berri-AI 提交，经 GitHub 网页界面创建因而带有 Verified 标记。

1. 23:32
   OX Security

   LiteLLM 1.107.0 被植入信息窃取程序与 RAT

   2026年10月21日，被植入恶意代码的 LiteLLM 1.107.0 发布到 PyPI，PyPI 已将该版本隔离。恶意代码只注入 wheel 包，审查源码仓库难以发现异常；只要安装了该包，即使项目不使用 LiteLLM，每次 Python 启动都会触发。该恶意软件兼具信息窃取与 RAT 功能，窃取 LLM 提供商 API 密钥、云凭证、环境变量和 LiteLLM 代理数据库中的凭证，目标包括 AWS 与 Azure 密钥、GitHub 凭证及 Claude Code、GitHub Copilot、Cursor 等 AI 工具的数据，窃取内容被发送到攻击者购买的仿冒域名 litellm[.]dev。这是 LiteLLM 今年第二次被劫持，今年3月的 1.82.7 与 1.82.8 版本曾在 TeamPCP 活动中失陷。

2. 21:44
   Wiz Research精选

   LiteLLM 遭入侵，恶意版本窃取凭据

   Wiz Research 披露 LiteLLM 遭供应链攻击，恶意版本 1.107.0 于 10 月 21 日被上传至 PyPI，会窃取浏览器、云和 AI 提供商凭据，最新安全版本为 v1.106.2。该版本在 1:20 UTC 被 PyPI 隔离，GHCR 和 Docker Hub 上带毒的 v1.107.0、latest、main-latest、main-stable 镜像也于 13:53 UTC 左右移除。攻击者经仿冒组织仓库 Berri-AI/litellm 在 10 月 21 日 08:56 至 10:46 UTC 推送 10 个提交注入发布流程；Wiz 称载荷同时滥用 .pth 文件与 sitecustomize.py 两种持久化机制，疑似为野外首例，并呈现大语言模型辅助开发的明显迹象。

3. 21:41
   Socket精选

   LiteLLM PyPI 包和 Docker 镜像遭入侵，被用于窃取云和 AI 凭据

   LiteLLM 1.107.0 的 PyPI 包和 Docker 镜像被植入凭据窃取程序，Socket 的 AI 扫描器在发布 7 分钟后标记了全部 7 个 wheel。恶意 Python 启动文件在解释器启动时即激活，无需应用导入 LiteLLM，会收集 AWS、Azure、Google Cloud 等云凭据、SSH 与 GPG 私钥、浏览器数据，以及 Codex、Claude、Gemini、Cursor 等 AI 工具的认证文件，加密后外传至 www.litellm.dev/healthcheck；另一加载器从 GitHub 仓库 letters9813/pythonclient-test 拉取远程 Python 代码执行。

4. 18:00
   LiteLLM精选

   已遏制：2026年10月21日LiteLLM v1.107.0发布遭入侵

   LiteLLM 的发布流水线在 10 月 21 日遭入侵，攻击者向 PyPI 和 Docker Hub 推送了含凭据窃取与远程代码执行恶意代码的 v1.107.0，官方称受影响构建已下架、事件已遏制。恶意 litellm==1.107.0 在 PyPI 上存活约两小时（11:39 至 13:23 UTC），Docker Hub 的 v1.107.0、latest、main-latest、main-stable 标签从 11:46 至 14:20 UTC 指向被污染镜像；GitHub 上官方 v1.107.0 源码标签不含恶意文件。企业私有版本未受影响，官方建议开源用户将版本固定到 1.106.2，并轮换 IAM 角色、provider key、DATABASE_URL 密码等可达凭据。

5. 08:00
   SafeDep精选

   PyPI 上的 LiteLLM 1.107.0 被植入凭据窃取器与后门

   PyPI 上的 LiteLLM 1.107.0 发布包被植入凭据窃取器和远程代码执行后门，七个平台的 wheel 都会把三个文件写入 site-packages，任何 Python 进程启动时即加载，即使没有导入 litellm。窃取器收集 SSH 密钥、云凭据、CI/CD 密钥、浏览器密码和 AI 工具 token，加密后上传到 www.litellm[.]dev；后门每小时从攻击者的 GitHub 文件读取服务器地址，下载并执行代码。LiteLLM 的事件报告称，攻击者掌握三名开发者的 GitHub CLI 凭据，绕过分支保护并把发布流程指向仿冒仓库 Berri-AI/litellm，再用第二名开发者的凭据通过审批门。GitHub 账号 letters9813 在 13:40 UTC 返回 404，后门随之找不到服务器地址。

6. 08:00
   Datadog Security Labs精选

   LiteLLM 遭供应链攻击：你需要知道的事

   2026 年 10 月 21 日，攻击者发布了 LLM 代理库 litellm（周下载约 2300 万）的恶意版本 1.107.0，在 PyPI 和官方 Docker 镜像上存在约两小时后被移除。该版本向 site-packages 写入 cook.pth、cook.py 和 sitecustomize.py，任何 Python 进程启动即触发，即使从未导入 LiteLLM；载荷窃取云平台凭据、SSH 密钥、LLM 提供商 API 密钥、Claude、Codex、Cursor 等 AI 编码工具会话、浏览器密码及 LiteLLM 代理数据库凭据，加密回传至仿冒域名 www.litellm[.]dev，并含每小时从 GitHub 固定文件读取域名下载执行代码的第二阶段 RAT 后门。建议手动删除载荷文件、回退到 1.106.2 并轮换全部受影响凭据。

7. 时刻未标
   JFrog Security Research精选

   LiteLLM再次遭劫持：恶意1.107.0安装包窃取凭据并加载远程代码

   JFrog 安全研究团队发现 PyPI 上 litellm 1.107.0 的全部七个平台 wheel 被植入恶意代码，官方 litellm/litellm:1.107.0 Docker 镜像同样受影响，PyPI 与 Docker Hub 已移除相关产物。源码包不含这三个恶意文件，仅审源码、Git 标签或 sdist 会漏掉 wheel 中的恶意行为。这是 LiteLLM 在 2026 年第二次被劫持，JFrog 称无证据表明与 3 月 TeamPCP 事件相关；LiteLLM 在 10 月 22 日表示事件已受控，JFrog 建议弃用全部 1.107.0 wheel、先删除启动钩子再轮换凭据并重建环境。

8. 时刻未标
   Endor Labs精选

   LiteLLM 1.107.0 遭篡改：Python 启动钩子窃取云、AI 与代理凭据

   2026 年 10 月 21 日发布的 litellm==1.107.0 由一个含凭据窃取器和远程代码加载器的源码修订构建，PyPI 随后隔离该版本，上一版为 1.106.2。恶意改动只发生在打包层：pyproject.toml 的 Maturin 配置加入一行 data = "cook"，把 cook.pth、cook.py 和 sitecustomize.py 装入 site-packages，使该环境中任何 Python 启动都会触发载荷。收集器含 16 个模块，读取云凭据与实例元数据、SSH/GPG/TLS 私钥、浏览器密码、Claude、Codex、Gemini、Cursor、Copilot 等 AI 工具的登录凭据，并查询 LiteLLM 代理数据库中的凭据表与模型配置表，加密后上传至 www.litellm.dev/healthcheck。

9. 时刻未标
   StepSecurity

   litellm 1.107.0 在 PyPI 遭投毒：带后门的 wheel 释放凭证窃取器和每小时远程代码加载器

   2026年10月21日发布到 PyPI 的 litellm 1.107.0 在全部 7 个 wheel 中被植入恶意代码，官方 LiteLLM Docker 镜像也携带相同载荷。载荷经 .pth 与 sitecustomize 在每次 Python 启动时自动运行，无需导入 litellm：privcollect 窃取器收集浏览器密码、SSH 与 GPG 密钥、云凭证、20 多个 AI 编码工具的配置及 LiteLLM 代理数据库中的提供商 API 密钥，加密后回传至仿冒域名 www.litellm.dev；另一载荷派生守护进程，每小时从攻击者控制的 GitHub 仓库读取地址并执行下发的 Python 代码。被感染版本构建自仿冒仓库 Berri-AI/litellm，攻击者在干净的 v1.107.0 git 标签上叠加了十个提交。

10. 时刻未标
    Aikido Security

    LiteLLM 遭入侵：PyPI 1.107.0 版本含信息窃取器与远程访问木马

    2026 年 10 月 21 日，开源 LLM 代理 LiteLLM 的 1.107.0 版本在 PyPI 上被发现遭攻击者注入恶意代码，官方 Docker 镜像同样受影响。攻击者利用 pyproject.toml 中 maturin 的 data 指令，把在被入侵构建环境中创建的 cook/ 目录打包进 wheel，安装后通过 cook.pth、cook.py 和 sitecustomize.py 在 Python 启动时自动运行。信息窃取器首次运行即窃取浏览器保存的密码、SSH 私钥、AWS/Azure/GCP 云凭据、CI/CD 密钥、Claude Code 与 Cursor 等开发工具凭据及 LiteLLM 数据库内容，用 RSA-4096 加密后外传；远程访问木马每小时从 GitHub 仓库获取 C2 域名并执行任意代码。

当前关注度57·可比范围峰值84（10月23日 17:00）·近 24 小时可比范围变化 -4%