AI代理库LiteLLM遭供应链攻击，恶意版本v1.107.0窃取云与模型API密钥

安全公司Wiz Research于2026年10月21日披露，流行的Python LLM代理库LiteLLM遭遇供应链攻击。攻击者发布了包含恶意代码的版本v1.107.0，该版本在PyPI上存在了约两小时，随后被隔离。同时，GHCR和Docker Hub上的相关镜像标签（包括latest、main-latest等）也被植入木马，直至13:53 UTC左右被移除。目前最新的安全版本为v1.106.2。

根据Wiz和Datadog Security Labs的分析，恶意包在安装时会将三个文件（cook.pth、cook.py和sitecustomize.py）解压到site-packages根目录。这些文件设计为在每次启动Python解释器时自动执行，即使未导入LiteLLM也会触发。其中，cook.py是一个名为privcollect的凭据窃取器，通过16个模块收集敏感数据，目标包括Chrome/Firefox等浏览器凭据、AWS/GCP/Azure云凭证、SSH/GPG密钥，以及存储在环境变量或配置文件中的OpenAI、Anthropic等LLM提供商API密钥。此外，它还会直接查询LiteLLM Proxy的PostgreSQL数据库以提取上游提供商凭据。

窃取的数据经AES-256-CBC加密后，通过HTTP POST请求外泄至攻击者控制的仿冒域名www.litellm[.]dev/healthcheck。sitecustomize.py还包含一个每小时检查GitHub死信箱的后门机制，试图下载第二阶段RAT载荷，尽管截至分析时该死信箱未被填充有效载荷。Wiz指出，这种同时使用.pth文件和sitecustomize.py的双重技术是野外首次记录到的案例。

LiteLLM开发团队BerriAI表示，攻击者利用被盗的GitHub CLI OAuth令牌控制了三位工程师的账户，从而触发了合法构建流水线指向恶意fork仓库（Berri-AI/litellm，注意连字符差异）。Datadog补充称，这是LiteLLM在2026年第二次遭受供应链攻击，此前1.82.7和1.82.8版本曾受TeamPCP活动影响，但目前尚未建立两次攻击之间的关联。

受影响用户应立即手动删除site-packages目录下的cook.pth、cook.py和sitecustomize.py文件，回退至v1.106.2版本，并从干净机器上轮换所有可能暴露的云、AI及浏览器凭据。