LiteLLM 1.107.0 遭供应链投毒：PyPI 与 Docker 镜像被植入凭证窃取器和后门，官方确认已控制并建议回退 1.106.2

核心背景与行业痛点

LiteLLM 是很多 AI 应用调用 100 多家模型供应商时使用的开源 Python 库和代理网关，Datadog Security Labs 统计其每周下载量约 2300 万。网关里天然存放着各家模型 API key，一旦被投毒，影响面远超普通依赖。这已是它今年第二次出事：3 月的 1.82.7/1.82.8 事件之后，官方曾把发布迁到私有仓库并加签名。

架构亮点与底层机制

据 LiteLLM 官方事件报告，攻击者先拿到 3 组开发者的 GitHub CLI OAuth 凭证（官方推测来自一个暴露在公网的内部 LiteLLM 部署日志，并称发现 Claude Code 在特定情况下会把 gh token 写进响应体），其中一组属于组织所有者。攻击者关闭分支保护、强推修改，让发布工作流指向仿冒仓库 Berri-AI/litellm，签名并发布了带毒产物。JFrog 与 Datadog 分析显示，wheel 额外带了 cook.pth、cook.py、sitecustomize.py，只要 Python 启动就会运行，不需要 import litellm；源码包和 Git 标签里都看不到这些文件，只审源码会漏掉。

权威 Benchmark 与实测跑分对比

本事件不涉及跑分。官方给出的时间线：PyPI 版本 11:39–13:23 UTC 在线约 2 小时；Docker Hub 与 GHCR 的 v1.107.0、latest、main-latest、main-stable 自 11:46 UTC 起被污染，GHCR 于 13:51 UTC、Docker Hub 于 14:20 UTC 恢复。Socket 称其扫描器在发布 7 分钟后就标记了这 7 个 wheel。目前尚无 CVE 编号。

开发者实战落地与开箱指南

先用 pip show litellm 和文件搜索检查 litellm-1.107.0.dist-info、cook.pth、sitecustomize.py。注意不要先跑 pip install，因为任何 Python 进程都会再次触发恶意代码：应先在 shell 里删掉这 3 个文件及对应 pyc，结束持有 /tmp/remote_code_loader.lock 的守护进程，再固定 litellm==1.106.2，最好直接重建镜像和虚拟环境。只要主机能联网，就假定密钥已外泄，轮换代理数据库里的全部供应商 key、master/virtual key、DATABASE_URL 密码和云角色凭证。今后建议固定版本号和镜像 digest，不要部署浮动的 latest 标签。