LiteLLM 再遭供应链攻击：恶意版本 1.107.0 可窃取凭证与密钥

ChainCatcher 消息，据慢雾披露，LiteLLM 再次遭遇供应链攻击，恶意版本 litellm@1.107.0 波及 PyPI 包及 Docker 镜像，包括 latest、main-stable 等浮动标签。注入的恶意代码会在 Python 启动时自动执行，窃取云凭证、AI API 密钥、SSH 私钥等敏感数据，并支持远程代码执行。受影响版本已被移除或替换。慢雾建议用户避免使用 1.107.0 版本，从干净镜像重建受影响环境，轮换可能泄露的凭证，并将版本固定至 1.106.2。