LiteLLM 1.107.0 在 PyPI 上被投毒，开门的 token 是从编程 agent 的日志里漏出来的
10 月 21 日 UTC 11:39 到 13:23，一个恶意的 LiteLLM 1.107.0 挂在 PyPI 上；Docker Hub 和 GHCR 的 latest、main-stable 等标签在 11:46 到 14:20 之间也被污染。官方说目前最新的安全版本是 1.106.2。如果你的系统在这个时间段拉过 LiteLLM 或它的镜像，就当这台机器已经暴露，把它能读到的所有密钥都换一遍：云、CI、大模型 API key、agent 凭证。事件页：https://docs.litellm.ai/blog/security-incident-oct-21-2026
这个版本是一个凭证窃取器，目标清单简直就是一张 agent 生态地图。SafeDep 的分析说它在每次 Python 启动时都会跑，哪怕程序根本没 import litellm；它要的是 Claude Code、Claude Desktop、Cursor、Windsurf、Copilot、Gemini CLI、Codex、opencode 的 token，MCP 配置文件，以及 LiteLLM 代理数据库里存的各家 API key。Wiz 说代码有明显的大模型辅助开发痕迹。GitHub 上的源码是干净的，坏包是从发布流水线本身吐出来的。
根因这段，每个做 agent 的团队都该读两遍。LiteLLM 维护者写道，他们见过一些特定情况，Claude Code 会把用户的 GitHub CLI OAuth token 塞进响应体里，而响应体一旦被记日志，这些 token 就会出现在 LiteLLM 的日志中。LiteLLM 内部一个暴露在公网的部署里，有一个名字看起来人畜无害、谁都没预料到的账号。攻击者从日志里拿到 token，用一个账号改了发布流水线，再用另一个账号批准。双人审批的发布控制，被两个漏出去的 token 破了。截至发稿，没找到 Anthropic 对这一说法的回应。根因讨论：https://github.com/BerriAI/litellm/issues/47826
网关是每个 harness 背后都要过的那道门，所以它也是收集所有人密钥的最佳位置。把完整请求和响应体记下来，一直被当成好的可观测性，直到响应体开始夹带凭证。agent 团队现在需要把脱敏做成 agent 和日志之间的标配步骤。另外 LiteLLM 已经预告，还有一个独立的禁运修复，计划 10 月 27 日公开。
← 返回所有文章
这个版本是一个凭证窃取器，目标清单简直就是一张 agent 生态地图。SafeDep 的分析说它在每次 Python 启动时都会跑，哪怕程序根本没 import litellm；它要的是 Claude Code、Claude Desktop、Cursor、Windsurf、Copilot、Gemini CLI、Codex、opencode 的 token，MCP 配置文件，以及 LiteLLM 代理数据库里存的各家 API key。Wiz 说代码有明显的大模型辅助开发痕迹。GitHub 上的源码是干净的，坏包是从发布流水线本身吐出来的。
根因这段，每个做 agent 的团队都该读两遍。LiteLLM 维护者写道，他们见过一些特定情况，Claude Code 会把用户的 GitHub CLI OAuth token 塞进响应体里，而响应体一旦被记日志，这些 token 就会出现在 LiteLLM 的日志中。LiteLLM 内部一个暴露在公网的部署里，有一个名字看起来人畜无害、谁都没预料到的账号。攻击者从日志里拿到 token，用一个账号改了发布流水线，再用另一个账号批准。双人审批的发布控制，被两个漏出去的 token 破了。截至发稿，没找到 Anthropic 对这一说法的回应。根因讨论：https://github.com/BerriAI/litellm/issues/47826
网关是每个 harness 背后都要过的那道门，所以它也是收集所有人密钥的最佳位置。把完整请求和响应体记下来，一直被当成好的可观测性，直到响应体开始夹带凭证。agent 团队现在需要把脱敏做成 agent 和日志之间的标配步骤。另外 LiteLLM 已经预告，还有一个独立的禁运修复，计划 10 月 27 日公开。
评论