LiteLLM今年第二次遭投毒：不调用也能偷密钥

動察 Beating AI 快訊，安全公司 JFrog 發現，熱門開源 AI 模型網關 LiteLLM 再次遭到供應鏈攻擊。其最新的 1.107.0 版本被植入惡意程式，官方 Docker 鏡像也受到影響。LiteLLM 可以統一調用 OpenAI、Anthropic 等模型，並集中管理 API 密鑰，今年 3 月就曾因另一場供應鏈攻擊遭到投毒。

這次攻擊更加隱蔽。駭客在 Python 安裝包中藏入三個額外檔案。使用者安裝後，只要啟動相關 Python 環境，即使沒有調用 LiteLLM，惡意程式碼也會自動運行。它會蒐集瀏覽器密碼、SSH 私鑰、AWS 等雲平台憑證，以及 Claude、Codex、Cursor 等開發工具的認證資訊。還會嘗試讀取 LiteLLM 資料庫中保存的模型 API 密鑰，發送到偽裝成官方網域的伺服器。

攻擊者還留下了一個持久化後門，每小時檢查一次遠端指令，必要時下載並執行新的程式碼。更麻煩的是，GitHub 上的正式版本原始碼沒有這些惡意檔案，但發布到 PyPI 的全部七個平台安裝包都被植入木馬。社群透過 Docker 構建記錄發現，發布系統使用的原始碼位址指向一個與官方倉庫名稱只差一個連字號的仿冒倉庫。它究竟如何混入發布流程，仍未查清。

目前 PyPI 已移除惡意版本，Docker Hub 也已撤下受影響鏡像。JFrog 提醒，安裝或運行過 1.107.0 的使用者應將相關憑證視為可能洩露，隔離並重建環境，輪換 API 密鑰等敏感憑證，而不是簡單卸載軟體。已確認安全的回退版本為 1.106.2。