LiteLLM遭供应链攻击致恶意版本传播
发生了什么
据therecord.media报道，开源工具LiteLLM因未及时吊销5月泄露的主密钥，导致攻击者获取其GitHub存储库控制权。攻击者于上周在PyPI发布包含凭据窃取恶意软件的1.107.0版本，该版本被下载约4.9万次。Wiz指出攻击者利用窃取的云凭据进行“LLMjacking”活动。LiteLLM建议安装该版本的用户更换所有相关密码与访问密钥，并已撤销其内部系统令牌。
报道与来源
1 篇发布方数量不等于独立核验数量。同稿的多个入口保留在对应报道中。
- therecord.media来源报道
Popular AI tool LiteLLM says unrevoked key allowed hackers to target users
来源关系与证据边界
按已记录的来源角色展示；连线仅表示原生身份流程确认的同稿入口，不表示独立佐证或跨报道引用。
- 来源报道1 个发布入口