LiteLLM 于 2026 年 10 月 23 日发布攻击链报告称，攻击者利用被盗凭据，于 10 月 21 日构建、签名并发布了遭投毒的 litellm==1.107.0 软件包和容器镜像。报告描述了发布流水线如何在被盗身份的驱动下，执行看似经过授权的操作。[1]

据 LiteLLM 披露，5 月 27 日提交到公开仓库的一把管理密钥，在相关文件删除后仍然有效。攻击者于 10 月 10 日用它查询内部 LiteLLM Agent Platform，从托管代理的配置中取得了一名组织所有者的 GitHub CLI OAuth 令牌，随后通过恶意持续集成（CI）工作流窃取了另外两名维护者的令牌。[1]

攻击者修改发布工作流，使其接受其他源码所有者，并用组织所有者凭据绕过分支保护，转而从名称近似的 Berri-AI/litellm 分叉仓库构建。被盗的维护者令牌批准了生产发布关卡，流水线随后完成签名和发布。LiteLLM 称，攻击者还用另一枚令牌删除发布运行记录，并强制改写历史，使主分支的可见历史不再显示那次工作流修改。[1]

报告记载，PyPI 于 10 月 21 日 13:23 UTC 前隔离了相关版本，容器标签随后被移除或重新指向其他镜像。报告将暴露检查和清理步骤交由另一篇事件说明介绍。这份保存的报告没有指定修复后的替代版本；其中关于再次发布版本的表述是计划，不能视为已经交付。[1]

[1]: LiteLLM，《The attack chain behind the v1.107.0 LiteLLM release》，2026 年 10 月 23 日。https://litellm.vercel.app/blog/security-incident-oct-21-2026-attack-chain

来源

  1. The attack chain behind the v1.107.0 LiteLLM releaselitellm.vercel.app · 2026年10月23日

核查或更正本页

更正
提交更正请求 · 在 GitHub 编辑源文件 · 更正政策
验证记录

下方摘要可以说明你读到的文字是否与公开的源文件一致，但不能说明报道内容本身正确。这一摘要在构建时根据本页的 Markdown 源文件计算，并列入站点清单。

ad82cd3e1fb4c46dbb5f90d5f84ae0680950a7ad253734c06dc98f075e309bfa

查看源文件 · 清单