LiteLLM 再遭供應鏈攻擊：惡意版本 1.107.0 可竊取憑證與密鑰

ChainCatcher 消息，据慢雾披露，LiteLLM 再次遭遇供應鏈攻擊，惡意版本 [email protected] 波及 PyPI 包及 Docker 鏡像，包括 latest、main-stable 等浮動標籤。

注入的惡意代碼會在 Python 啟動時自動執行，竊取雲憑證、AI API 密鑰、SSH 私鑰等敏感數據，並支持遠程代碼執行。受影響版本已被移除或替換。慢雾建議用戶避免使用 1.107.0 版本，從乾淨鏡像重建受影響環境，輪換可能洩露的憑證，並將版本固定至 1.106.2。